Configurar o XFA como provedor de identidade para o Proton Pass e o Proton VPN Beta

Ao contrário dos outros guias de provedores de identidade, aqui o XFA é o provedor de identidade: o Proton entrega o início de sessão ao XFA, que inicia a sessão dos utilizadores com uma passkey e verifica o dispositivo.

Nota: este guia pressupõe que a sua organização tem uma conta no XFA, que é administrador dessa organização no XFA e que é administrador de uma organização Proton for Business com um plano que inclui início de sessão único (Proton Pass Professional, Proton VPN Professional ou Enterprise, ou VPN and Pass Professional). Se ainda não tiver uma conta no XFA, pode criar uma em https://dashboard.xfa.tech/signup.

O Proton como fornecedor de identidade está em beta e fica desativado até o XFA o ativar para a sua organização. Se não vir Ligar o Proton em Fornecedor de identidade nem o mosaico Proton na página Enforcement, a sua organização ainda não o tem: contacte support@xfa.tech e nós ativamo-lo para si.

Como funciona

Quando um utilizador inicia sessão no Proton Pass ou no Proton VPN com Sign in with SSO, o Proton redireciona-o para o XFA. O XFA autentica-o com uma passkey num dispositivo que registou no XFA (Built-in passkey), verifica o estado de segurança do dispositivo e devolve ao Proton uma asserção SAML assinada. O Proton confia nessa asserção e deixa o utilizador entrar.

Como o início de sessão passa pelo XFA, o utilizador nunca escreve uma palavra-passe do Proton. O seu primeiro dispositivo é preparado através de um passo de recuperação que um administrador provisiona (abaixo). Depois, iniciar sessão é um único toque na passkey de um dispositivo de confiança.

No Proton, o início de sessão único aplica-se por domínio verificado. O Proton Pass e o Proton VPN partilham a configuração de início de sessão único da organização, e este guia aborda esses dois produtos.

Criar uma ligação Proton no painel XFA

Depois de iniciar sessão no painel XFA, abra Fornecedor de identidade na barra lateral e clique em Ligar o Proton. (Também pode ir à página Enforcement, clicar em New e escolher o mosaico Proton.) O XFA cria a ligação e abre a sua configuração guiada: quatro passos que percorre, por qualquer ordem, entre o XFA e o painel de administração do Proton.

Em Básicos, defina:

um nome para a ligação e a política cujas verificações do dispositivo se aplicam no início de sessão;
Domínios de e-mail permitidos: o domínio ou domínios que vai adicionar ao início de sessão único no Proton (por exemplo, example.com). O XFA só autentica e afirma e-mails desses domínios ou dos domínios de e-mail da sua organização; tudo o resto é recusado. Sem domínios aqui nem nos domínios de e-mail da organização, ninguém consegue iniciar sessão (fail-closed), por isso defina-o antes de entrar em produção.

O passo 1, Adicionar o XFA como provedor de identidade no Proton, mostra os valores de que o Proton precisa para confiar no XFA:

URL de metadados: os metadados SAML do XFA para esta ligação. O Proton importa-os de uma só vez.
Entity ID (o Proton também lhe chama Issuer), URL de início de sessão e um certificado que pode descarregar, para quando o Proton pedir campos de texto.

Deixe o separador aberto; vai voltar a ele assim que o Proton mostrar os seus próprios valores.

Uma ligação de provedor de identidade por organização

O XFA suporta uma ligação de provedor de identidade por organização. Se já ligou o Google Workspace ou um provedor de identidade SAML genérico, remova primeiro essa ligação; até então o mosaico Proton fica desativado.

Antes de continuar, clique em Salvar e continuar depois para guardar a ligação. Os links de onboarding e os inícios de sessão usam os Domínios de e-mail permitidos e a política guardados, não o que ainda não foi guardado na página.

Provisionar os utilizadores para o primeiro dispositivo

Como o início de sessão passa agora pelo XFA, um dispositivo novo ainda não tem passkey e, assim que o início de sessão único está ativo para um domínio, os seus membros só chegam ao Proton através do XFA. Por isso, o primeiro dispositivo é preparado por um administrador, antes de ativar o início de sessão único no Proton.

Na página Pessoas (em Identidade), provisione cada utilizador que vai iniciar sessão através do XFA com um e-mail secundário: um endereço pessoal ou alternativo a que consiga aceder. Pode depois enviar-lhe para esse endereço um link de onboarding, que lhe permite registar a passkey sem nunca escrever uma palavra-passe. O link é de utilização única e válido durante 7 dias.

Para adicionar utilizadores, clique em Novo utilizador. Se preferir não enviar um link por e-mail, pode em alternativa gerar uma palavra-passe de onboarding de utilização única para um utilizador e entregá-la pelo canal que preferir.

As pessoas que já utilizam o Proton Pass ou o Proton VPN mantêm os seus dados. A partir do momento em que o início de sessão único está ativo para o seu domínio, iniciam sessão com Sign in with SSO.

Enviar links de onboarding

Para enviar links mais tarde, selecione os utilizadores na página Pessoas e clique em Enviar ligação de integração. O XFA coloca os e-mails em fila e envia-os nos minutos seguintes; a página Pessoas mostra depois Ligação enviada a com a data.

O XFA ignora, e indica-lhe porquê:

utilizadores que já se inscreveram,
utilizadores sem e-mail secundário,
utilizadores que receberam um link há menos de 7 dias. Clique em Reenviar mesmo assim para enviar um novo; este substitui o link anterior.

O estado de onboarding de cada utilizador aparece na página Pessoas: Aprovisionado, Ligação enviada a, Inscrito ou Inscrição desconhecida quando o XFA não o conseguiu verificar.

Configurar o início de sessão único no Proton

No painel de administração do Proton (o painel de administração do Proton Pass, ou account.protonvpn.com para o Proton VPN for Business), vá a Single sign-on > SAML authentication > Configure SAML:

Introduza o domínio da sua empresa e clique em Add domain.
Adicione no seu fornecedor de domínio o registo DNS TXT que o Proton mostra e clique em Continue. O Proton verifica o domínio antes de aceitar o provedor de identidade; um registo DNS novo pode demorar a propagar-se.
Importe os metadados do provedor de identidade por URL, com o URL de metadados do XFA, e clique em Continue. Se o Proton pedir Text fields, introduza o Entity ID do XFA como entity ID, o URL de início de sessão como URL de início de sessão único, e carregue ou cole o certificado do XFA.
O Proton mostra agora o seu Assertion Consumer Service (ACS) URL e o Issuer ID. Clique em Done e depois em See details para rever a configuração.

Os valores do Proton são os mesmos para todas as organizações:

Issuer ID: https://sso.proton.me/sp
Assertion Consumer Service (ACS) URL: https://sso.proton.me/auth/saml

O XFA envia o endereço de e-mail da pessoa como NameID, no formato emailAddress que o Proton pede. O Proton associa-o ao membro com esse endereço.

Uma organização pode configurar até cinco domínios. Cada um é configurado separadamente no Proton e tem de apontar para o mesmo provedor de identidade; adicione-os todos também a Domínios de e-mail permitidos no XFA.

Concluir a integração no painel XFA

De volta ao painel XFA:

Passo 2, Confirmar os valores do Proton: o XFA já preencheu o Issuer ID e o ACS URL do Proton, porque nunca mudam. Compare-os com o que o Proton mostra em See details e clique em Marcar como concluído. Se algum valor tiver sido editado e for diferente, Utilizar os valores do Proton repõe-no.
Passo 3, Ativar o início de sessão único para as suas pessoas: confirme que o seu domínio aparece como verificado no Proton, que todos os domínios estão em Domínios de e-mail permitidos e que cada pessoa tem uma identidade XFA (consulte Provisionar os utilizadores para o primeiro dispositivo). Clique em Marcar como concluído quando estiver feito.
Passo 4, Verificar e testar: clique em Verificar meus valores, teste depois um início de sessão com um membro do seu domínio e assinale Testei e funcionou.

Clique em Concluir a configuração para guardar a ligação.

Pedidos assinados

O Proton assina os pedidos de início de sessão que envia ao XFA. Por predefinição, o XFA aceita-os sem verificar a assinatura. Para que o XFA os verifique, abra a ligação, ative Exigir pedidos assinados e cole o certificado de assinatura do Proton em Certificado de assinatura do provedor de serviços. O certificado está nos metadados SAML do Proton em https://sso.proton.me/saml/metadata; o Proton pode renová-lo, e o início de sessão deixa de funcionar até colar o novo.

Primeiro dispositivo: o utilizador abre o link de onboarding do seu e-mail secundário (ou introduz a palavra-passe de onboarding que lhe deu) e regista uma passkey no dispositivo. O XFA verifica a segurança do dispositivo como parte disso, e essa passkey passa a ser o seu início de sessão no Proton.
Todos os dispositivos seguintes: numa aplicação Proton Pass ou Proton VPN, ou em account.proton.me, o utilizador clica em Sign in with SSO e introduz o seu e-mail. Toca na passkey, sem palavra-passe e sem mais nada para escrever, e o XFA confirma o novo dispositivo num dispositivo que já tinha registado antes de lhe iniciar a sessão.

E quanto a um segundo fator?

O XFA substitui por completo o início de sessão com palavra-passe do Proton, por isso não há um segundo fator separado para perder: a passkey num dispositivo em que confiou explicitamente no XFA é o fator forte. É o Built-in passkey do XFA. Leia mais na documentação do Built-in passkey.