AHORA SSO

En la versión 5.0.0.64 se libera la conexión tanto de ERP como TPV con login por ABH SSO.

El inicio de sesión SSO (Single Sign-On) permite a los usuarios acceder a múltiples aplicaciones o servicios con un solo conjunto de credenciales. Una vez que el usuario inicia sesión en una plataforma compatible con ABH SSO, puede acceder automáticamente a otras aplicaciones conectadas sin necesidad de volver a autenticarse (Ahora TPV, Ahora ERP 5, Aplicaciones Flexygo, etc).

Algunas de las ventajas que plantea este sistema frente al login tradicional son:

• Un solo inicio de sesión para múltiples servicios.
• Menor riesgo de contraseñas débiles o reutilizadas. Puede integrarse con autenticación multifactor.
• Elimina la necesidad de iniciar sesión repetidamente.
• Las cuentas se gestionan desde un único sistema (fácil desactivación en caso de compromisos)

Para poder hacer uso del login por ABH SSO tanto desde el ERP como desde la TPV, es necesario realizar una serie de pasos previos que se abordan en el presente artículo.

Usuario de Servicio

El primer paso es crear un usuario de servicio junto a un empleado asociado al mismo. 

Un usuario de servicio para impersonación es una cuenta técnica configurada en un sistema para actuar en nombre de otros usuarios para realizar las llamadas a base de datos. Este usuario permite que tanto el ERP como la TPV "impersone" (suplante) la identidad de otro usuario, obteniendo temporalmente sus permisos y capacidades dentro del sistema.

Es decir, en el modelo tradicional de login el empleado introduce su usuario y contraseña de aplicación (y base de datos) para conectarse con sus credenciales. En el modelo de login por ABH SSO la conexión a base de datos se hará con este Usuario de Servicio y se impersonará las llamadas para ejecutarlas como el empleado asociado al login SSO. El empleado final, por tanto, no tiene porqué tener o conocer la contraseña de acceso a base de datos puesto que no se conectará en ningún momento (aunque sí debe existir como usuario de base de datos para permitir la impersonación en su nombre)

Por tanto, los pasos a seguir son los siguientes:

• Crear un usuario de base de datos (por ejemplo, Ahora Servicio) con un password seguro que sólo conocerá el administrador de la base de datos.
• Crear un empleado en AHORA ERP 5 y asociarle ese mismo login de base de datos. Este empleado no tiene porqué tener licencia de uso del ERP puesto que sólo se utilizará la la conexión e impersonación de la aplicación.
• Asignar permisos de impersonación a ese usuario en la base de datos para que pueda realizar la acción de impersonar las llamadas a los empleados logueados por ABH SSO. Este usuario, por tanto, ni tiene que ser administrador de la base de datos ni es recomendable que lo sea, maximizando de esta forma la seguridad.

El siguiente comando es el que se debe ejecutar en base de datos para garantizar la impersonación del usuario y que este no tenga permisos de administrador. Será un usuario normal con la única potestad de poder ejecutar comandos en nombre de otro usuario, revocando la capacidad de alterar la base de datos.

GRANT IMPERSONATE ANY LOGIN TO AhoraServicio
DENY IMPERSONATE ON LOGIN::sa TO AhoraServicio

IMPORTANTE:
Recuerda guardar tanto los cambios en la ventana de petición de usuario, como los cambios en la propia configuración de la integración para que se guarde el usuario seleccionado en la ventana emergente.

Login with ABH

La primera vez que se abre el ERP, aunque tenga configurada la conexión con ABH SSO, no aparecerá el nuevo botón de login puesto que la configuración local del propio ERP no tendrá los datos cargados. Será, tras el primer login estándar en ese ERP, cuando se configure de forma automática la conexión y se muestre la nueva opción de login en sucesivos reinicios.

Con este nuevo botón se podrá acceder a la ventana de autenticación de ABH SSO y, a partir del primer login en el equipo, cualquier otra aplicación configurada para poder trabajar con este método de autenticación usará la sesión establecida en ese mismo equipo para ese usuario, conectándose de forma directa sin volver a pedir credenciales.

Un usuario logueado en ABH SSO podrá entrar en el ERP o en la TPV de forma directa siempre y cuando el email de ese usuario esté asociado a un empleado, siendo este usuario el que usará para impersonar las llamadas a base de datos. Las consultas las ejecutará el usuario de servicio en nombre del usuario asociado al email, quedando todas las operaciones en base de datos registradas a nombre del empleado recuperado por el email.

En caso de no existir esta asociación, el ERP mostrará un error.

El proceso de Login realiza una petición HTTPS externa al servicio ABH SSO, por tanto es normal que se abra el navegador y se muestre una ventana informando de que la autenticación se ha realizado y que ya es posible cerrar la ventana,

Logout

El logout en AHORA ERP 5 permite tanto cerrar la aplicación pero mantener la sesión de ABH SSO, como cerrar la aplicación y desloguear de la sesión.

Para ello se diferencia entre dos formas de cerrar:

• Utilizando la X de la aplicación se hace un cierre del ERP pero no de ABH SSO. De esta forma la siguiente vez que se abra el ERP seguirá la sesión abierta y se podrá acceder sin volver a dar las credenciales.

• Utilizando la función de logout interna de la aplicación. En este caso se mostrará la ventana de confirmación de logout de ABH SSO, cerrando tanto la aplicación como la sesión en caso de aceptar.