Como configurar autenticação baseada em certificados

Configure a autenticação mútua para logins baseados na interface do usuário ou serviços da Web de entrada.

Antes de Iniciar

Função necessária: administrador

Verifique se sua instância está usando um balanceador de carga ADCv2. Para obter mais informações, consulte o artigo de conhecimento da migração do ADCv2. Se sua instância não estiver usando o balanceador de carga ADCv2, entre em contato com Now Support.

Procedimento

Configure a autenticação baseada em certificados para:

• Permitir que os usuários finais façam login com segurança em ServiceNow AI Platform ou em Portal de serviços usando cartões PIV ou CAC. Depois que a autenticação baseada em certificados for habilitada, você poderá registrar automaticamente o certificado PEM ou um administrador poderá mapear o certificado para você. Consulte Faça login usando a autenticação baseada em certificados.
• Habilitar a autenticação mútua para serviços da Web de entrada. Depois que a autenticação baseada em certificados é configurada, o sistema usa os certificados fornecidos para autenticar mutuamente as solicitações de acesso às REST e SOAP APIs de ServiceNow.

Como ativar o plug-in Autenticação baseada em certificado

Você pode ativar o plug-in Autenticação baseada em certificado (com.glide.auth.mutual) para ServiceNow AI Platform se tiver a função de administrador.

Antes de Iniciar

Função necessária: administrador

Por Que e Quando Desempenhar Esta Tarefa

As tabelas a seguir são instaladas com o plug-in Autenticação baseada em certificado:

• sys_user_certificate
• sys_ca_certificate
• sys_ca_certificate_api_track

Procedimento

1. Navegar até Tudo > Aplicações do sistema > Todas as aplicações disponíveis > Tudo.
2. Encontre o plug-in Autenticação baseada em certificado (com.glide.auth.mutual) usando os critérios de filtro e a barra de pesquisa.

   Pesquise o plug-in pelo nome ou ID. Se não conseguir encontrar um plug-in, talvez seja necessário solicitá-lo ao pessoal ServiceNow.

3. Selecione Instalar para iniciar o processo de instalação.
   Nota:

   Quando a separação de domínio e o administrador delegado estão habilitados em uma instância, o usuário administrativo deve estar no global domínio. Caso contrário, será exibido o seguinte erro: A instalação da aplicação não está disponível porque há outra operação em execução: ativação de plug-in para <plugin name>.

   Você verá uma mensagem após a conclusão da instalação. Para obter informações sobre os componentes instalados com um plug-in, consulte Localizar componentes instalados com uma aplicação .

Como registrar o certificado CA

Registre certificados raiz ou certificados intermediários para disponibilizá-los para autenticação.

Antes de Iniciar

Função necessária: administrador

Procedimento

1. Navegar até Tudo > Autenticação baseada em certificados > Cadeias de certificados de CA.
2. Clique em Nova.
3. No formulário, preencha os campos:

   Tabela 1. Formulário de certificado de CA de autenticação mútua

   Campo	Descrição
   Nome	Nome para identificar o certificado.
   Notificação de expiração	Opção para avisar os usuários quando um certificado está prestes a expirar.
   Notificar no vencimento	Lista de usuários a serem notificados quando o certificado expirar.
   Aviso emitido antes do vencimento (em dias)	Número de dias em que uma notificação é enviada aos usuários antes que um certificado expire.
   Ativo	Opção para ativar o certificado do cliente.
   Formato	PEM
   Tipo	Tipo de certificado. As opções incluem: Certificado de CA: o certificado de CA raiz. Também pode incluir certificados intermediários na cadeia. Os certificados de CA são sincronizados automaticamente com o balanceador de carga. Use esta opção sempre que possível para evitar a perda de um certificado necessário na cadeia. Certificado intermediário: um certificado intermediário na cadeia de certificação. Este certificado permanece somente na instância e não é sincronizado com o balanceador de carga. Use esta opção somente se você precisar adicionar um certificado intermediário a uma cadeia existente.
   Descrição resumida	Descrição resumida do certificado de cliente do usuário.

   Nota:

   Durante o carregamento do certificado, os campos de somente leitura Válido de, Expira emDias até o vencimento, Emissore Assunto, e os campos Cadeia de certificados e Certificado PEM são extraídos e preenchidos automaticamente.
4. Clique em Enviar.
5. Opcional: Clique em Validar armazenamentos/certificados para validar o certificado.

Como mapear um certificado PEM para usuário

Mapeie certificados PEM para usuários para permitir que eles façam login usando cartões PIV ou CAC ou para autenticar solicitações de entrada. Você pode mapear vários certificados PEM para um usuário.

Antes de Iniciar

• Função necessária: administrador
• Verifique se você tem o certificado de Correio eletrônico com privacidade aprimorada (Privacy Enhanced Mail, PEM) do usuário.

Nota:

Após mapear o certificado PEM para a configuração do usuário, a "verificação do certificado" falhará. Isso ocorre porque o certificado PEM não está armazenado.

Procedimento

1. Navegar até Tudo > Autenticação baseada em certificados > Mapeamento de certificado para usuário e clique em Novo .
2. No formulário, preencha os seguintes campos:

   Tabela 2. Formulário do certificado de cliente do usuário

   Campo	Descrição
   Nome	Nome do certificado de cliente do usuário.
   Notificação de expiração	Opção para avisar os usuários quando um certificado está prestes a expirar.
   Aviso emitido antes do vencimento (em dias)	Número de dias em que uma notificação é enviada aos usuários antes que um certificado expire.
   Notificar no vencimento	Lista de usuários a serem notificados quando o certificado expirar.
   Ativo	Opção para ativar o certificado do cliente.
   Usuário	Usuário mapeado para o certificado do cliente. O sistema recebe o certificado do cliente da solicitação de entrada ou do registro do certificado e, em seguida, usa o usuário designado neste campo para iniciar uma sessão para executar a solicitação.
   Descrição resumida	Descrição resumida do certificado de cliente do usuário.
   Formato	O formato Correio eletrônico com privacidade aprimorada (PEM) é um certificado de Regras de codificação distintas (DER) codificado em base 64.
   Tipo	Certificado do cliente Este campo é somente leitura.

   Nota:

   Durante o carregamento do certificado, os campos somente leitura Válido de, Expira em, Dias até o vencimento, Emissore Assunto são extraídos e preenchidos automaticamente.
3. Clique no ícone de anexos e carregue o certificado.
4. Clique em Enviar.
   O certificado será validado e mapeado para o usuário especificado se o certificado for de uma autoridade de certificação (CA) confiável.

Como configurar as propriedades da autenticação baseada em certificados

Use as propriedades do sistema para habilitar ou desabilitar recursos da autenticação baseada em certificados.

Antes de Iniciar

Função necessária: administrador

Procedimento

1. Navegar até Tudo > Autenticação baseada em certificados > Propriedades.
2. No formulário, preencha os campos:

   Tabela 3. Formulário de propriedades da autenticação baseada em certificados

   Propriedade	Descrição
   Habilitar autenticação baseada em certificado	Opção para habilitar a autenticação baseada em certificados para logins de interface do usuário e serviços da Web de entrada. Padrão: verdadeiro
   Mostrar a opção "Login com PIV/CAC" na tela de login	Exibe a opção Login com cartão PIV/CAC na tela de login. Permite que os usuários façam login usando a autenticação baseada em certificados ao usar a interface do usuário. Padrão: falso
   Habilitar redirecionamento automático para login baseado em certificados	Determina se o usuário deve clicar em Login com cartão PIV/CAC depois de selecionar um certificado registrado e inserir seu PIN. Ative para fazer login automaticamente do usuário depois que ele selecionar um certificado de cliente registrado e inserir seu PIN. Desative para solicitar que o usuário clique em Login com cartão PIV/CAC depois de selecionar um certificado de cliente registrado e inserir seu PIN. Padrão: falso