Configurar o ServiceNow para logon único com Microsoft Entra ID

Neste artigo, você aprenderá a integrar o ServiceNow à ID do Microsoft Entra. Ao integrar o ServiceNow à ID do Microsoft Entra, você poderá:

  • Controlar quem tem acesso ao ServiceNow na ID do Microsoft Entra.
  • Permitir que os usuários entrem automaticamente no ServiceNow com as respectivas contas do Microsoft Entra.
  • Gerenciar suas contas em um local central: o portal do Azure.

O ServiceNow está disponível nas seguintes implantações nacionais de nuvem.

Serviço global Governo dos EUA China operada pela 21Vianet
✅ ✅

Pré-requisitos

O cenário descrito neste artigo pressupõe que você já tenha os seguintes pré-requisitos:

  • Uma assinatura do ServiceNow com SSO (logon único) habilitado.
  • No ServiceNow, uma instância ou tenant do ServiceNow oferece suporte às versões Calgary, Kingston, London, Madrid, New York, Orlando, Paris e San Diego, ou posteriores.
  • Para o ServiceNow Express, uma instância do ServiceNow Express, versão Helsinki ou posterior.
  • O locatário ServiceNow deve ter o Plug-in de Logon Único de Provedor Múltiplo habilitado.
  • Para a configuração automática, habilite o plug-in de vários provedores para o ServiceNow.
  • Para instalar o aplicativo Agente do ServiceNow (Móvel), vá para a loja apropriada e procure pelo aplicativo Agente do ServiceNow. Em seguida, baixe-o.

Descrição do cenário

Neste artigo, você configurará e testará o SSO do Microsoft Entra em um ambiente de teste.

  • O ServiceNow dá suporte a SSO iniciado por SP.

  • O ServiceNow dá suporte ao Provisionamento de usuário automatizado.

  • Você pode configurar o aplicativo Agente do ServiceNow (Móvel) com a ID do Microsoft Entra para habilitar o SSO. Ele é compatível com usuários Android e iOS. Neste artigo, você configurará e testará o SSO do Microsoft Entra em um ambiente de teste.

Para configurar a integração do ServiceNow à ID do Microsoft Entra, você precisará adicioná-lo à lista de aplicativos SaaS gerenciados por meio da galeria.

  1. Entre no Centro de administração do Microsoft Entra como pelo menos Administrador de Aplicativo de nuvem.
  2. Navegue até Entrar ID>Aplicativos empresariais>Novo aplicativo.
  3. Na seção Adicionar da galeria, digite ServiceNow na caixa de pesquisa.
  4. Selecione ServiceNow no painel de resultados e, em seguida, adicione o aplicativo. Aguarde alguns segundos enquanto o aplicativo é adicionado ao seu locatário.

Opcionalmente, você também pode usar o Assistente de Configuração de Aplicativos do Enterprise. Neste assistente, você pode adicionar um aplicativo ao seu locatário, adicionar usuários/grupos ao aplicativo, atribuir funções e também percorrer a configuração de SSO. Saiba mais sobre os assistentes do Microsoft 365.

Configurar e testar o SSO do Microsoft Entra para o ServiceNow

Configure e teste o SSO do Microsoft Entra com o ServiceNow usando um usuário de teste chamado B.Simon. Para que o SSO funcione, é necessário estabelecer uma relação de vínculo entre um usuário do Microsoft Entra e o usuário relacionado do ServiceNow.

Para configurar e testar o SSO do Microsoft Entra com o ServiceNow, execute as seguintes etapas:

  1. Configurar o SSO do Microsoft Entra para permitir que os usuários usem esse recurso.
    1. Crie um usuário de teste do Microsoft Entra para testar o logon único do Microsoft Entra com B.Simon.
    2. Atribua o usuário de teste do Microsoft Entra para habilitar B.Simon a usar o logon único do Microsoft Entra.
    3. Configurar o SSO do Microsoft Entra para o ServiceNow Express para permitir que os usuários usem esse recurso.
  2. Configure ServiceNow para definir as configurações de SSO do lado do aplicativo.
    1. Criar um usuário de teste no ServiceNow para ter um correspondente de B.Simon no ServiceNow, vinculado à representação do usuário no Microsoft Entra.
    2. Configure o SSO do ServiceNow Express para definir as configurações de logon único do lado do aplicativo.
  3. Teste o SSO para verificar se a configuração funciona.
  4. Testar SSO para Agente do ServiceNow (Móvel) para verificar se a configuração está funcionando.

Configurar o SSO do Microsoft Entra

Siga estas etapas para habilitar o SSO do Microsoft Entra.

  1. Entre no Centro de administração do Microsoft Entra como pelo menos Administrador de Aplicativo de nuvem.

  2. Navegue até a página de integração de Entra ID>aplicativos empresariais>ServiceNow, localize a seção Gerenciar. Selecione logon único.

  3. Na página Selecionar um método de logon único, escolha SAML.

  4. Na página Configurar o logon único com o SAML, selecione o ícone de caneta da Configuração Básica de SAML para editar as configurações.

    Captura de tela da página

  5. Na seção Configuração Básica do SAML, realize as seguintes etapas:

    a. Em URL de logon, insira um dos seguintes padrões de URL:

    URL de logon
    https://<instancename>.service-now.com/navpage.do
    https://<instance-name>.service-now.com/login_with_sso.do?glide_sso_id=<sys_id of the sso configuration>

    Observação

    Copie o valor sys_id da seção Configurar o ServiceNow , que é explicada posteriormente no artigo.

    b. Em Identificador (ID da Entidade) , insira uma URL que adote o seguinte padrão: https://<instance-name>.service-now.com

    c. Para a URL de Resposta, insira um dos seguintes padrões de URLs:

    URL de resposta
    https://<instancename>.service-now.com/navpage.do
    https://<instancename>.service-now.com/consumer.do

    d. Na URL de Logoff, insira uma URL que adote o seguinte padrão: https://<instancename>.service-now.com/navpage.do

    Observação

    Se "/" for adicionado ao valor de Identificador, remova-o manualmente.

    Observação

    Esses valores não são reais. Você precisa atualizar esses valores com a URL de logon real, URL de Resposta, URL de Logoff e o identificador, o que é explicado posteriormente no artigo. Você também pode consultar os padrões mostrados na seção Configuração Básica do SAML.

  6. Na página Configurar o logon único com o SAML, na seção Certificado de Autenticação do SAML, localize Certificado (Base64) .

    Captura de tela da seção do Certificado de Autenticação do SAML, com o Download realçado

    a. Clique no botão copiar para copiar a URL de metadados de federação do aplicativo e cole-a no bloco de notas. Essa URL é usada posteriormente no artigo.

    b. Selecione Download para baixar o Certificado (Base64) e, em seguida, salve o arquivo do certificado no seu computador.

  7. Na seção Configurar o ServiceNow, copie as URLs apropriadas de acordo com suas necessidades.

    Captura de tela da seção Configurar o ServiceNow, com as URLs realçadas

Criar e atribuir um usuário de teste do Microsoft Entra

Siga as diretrizes no início rápido de criação e atribuição de uma conta de usuário para criar uma conta de usuário de teste chamada B.Simon.

Configurar o SSO do Microsoft Entra para o ServiceNow Express

  1. Entre no Centro de administração do Microsoft Entra como pelo menos Administrador de Aplicativo de nuvem.

  2. Navegue até a página de integração de aplicativos no Entra ID>Aplicativos empresariais>ServiceNow, selecione Logon único.

    Captura de tela da página de integração do aplicativo ServiceNow com o logon único realçado

  3. Na caixa de diálogo Selecionar um método de logon único, selecione o modo SAML/WS-Fed para habilitar o logon único.

    Captura de tela de Selecionar um método de logon único, com o SAML realçado

  4. Na página Configurar o logon único com o SAML, selecione o ícone de caneta para abrir a caixa de diálogo Configuração Básica de SAML.

    Captura de tela da página Configurar o logon único com o SAML, com o ícone de caneta realçado

  5. Na seção Configuração Básica do SAML, realize as seguintes etapas:

    a. Para URL de logon, insira um dos seguintes padrões de URL:

    URL de logon
    https://<instance-name>.service-now.com/login_with_sso.do?glide_sso_id=<sys_id of the sso configuration>
    https://<instancename>.service-now.com/consumer.do

    b. Para Identificador (ID da Entidade) , insira uma URL que adote o seguinte padrão: https://<instance-name>.service-now.com

    c. Para a URL de Resposta, insira um dos seguintes padrões de URLs:

    URL de resposta
    https://<instancename>.service-now.com/navpage.do
    https://<instancename>.service-now.com/consumer.do

    d. Na URL de Logoff, insira uma URL que adote o seguinte padrão: https://<instancename>.service-now.com/navpage.do

    Observação

    Se "/" for adicionado ao valor de Identificador, remova-o manualmente.

    Observação

    Esses valores não são reais. Você precisa atualizar esses valores com a URL de logon real, URL de Resposta, URL de Logoff e o identificador, o que é explicado posteriormente no artigo. Você também pode consultar os padrões mostrados na seção Configuração Básica do SAML.

  6. Na página Configurar logon único com o SAML, na seção Certificado de Autenticação do SAML, selecione Download para baixar o Certificado (Base64) das opções especificadas, de acordo com seus requisitos. Salve-o no computador.

    Captura de tela da seção Certificado de Autenticação SAML, com Download realçado

  7. Você pode fazer com que a ID do Microsoft Entra configure automaticamente o ServiceNow para a autenticação baseada em SAML. Para habilitar esse serviço, acesse a seção Configurar o ServiceNow e selecione Exibir instruções passo a passo para abrir a janela Configurar logon.

  8. No formulário Configurar logon, insira o nome da instância, o nome de usuário do administrador e a senha de administrador do ServiceNow. Selecione Configurar agora. O nome de usuário do administrador informado deve ter a função security_admin atribuída no ServiceNow para que isso funcione. Caso contrário, para configurar manualmente o ServiceNow para usar a ID do Microsoft Entra como um provedor de identidade SAML, selecione Configurar o logon único manualmente. Copie a URL de Logoff, o Identificador do Microsoft Entra e a URL de Logon da seção Referência rápida.

    Captura de tela do formulário Configurar logon, com

Configurar o ServiceNow

  1. Entre no seu aplicativo ServiceNow como administrador.

  2. Ative o plug-in Integração – Instalador de logon único para vários provedores executando as seguintes etapas:

    a. No painel esquerdo, pesquise a seção Definição de Sistema na caixa de pesquisa e, em seguida, selecione plug-ins.

    Captura de tela da seção Definição de Sistema, com Definição de Sistema e plug-ins realçados

    b. Pesquise por Integração – Instalador de logon único para vários provedores, depois instale-o e ative-o.

    Captura de tela da página de Plug-ins do sistema, com Integração – Instalador de login único para vários provedores destacado

  3. No painel à esquerda, pesquise pela seção SSO para vários provedores na barra de pesquisa, depois selecione Propriedades na Administração.

    Captura de tela da seção de SSO de vários provedores, com SSO de vários provedores e Propriedades destacados

  4. Na caixa de diálogo Propriedades de SSO para vários provedores, execute as seguintes etapas:

    Captura de tela da caixa de diálogo Propriedades de SSO para vários provedores

    • Para Habilitar SSO para vários provedores, selecione Sim.

    • Para Habilitar importação automática de usuários de todos os provedores de identidade para a tabela do usuário, selecione Sim.

    • Para Ativar o log de depuração para a integração de SSO de vários provedores, selecione Sim.

    • Para o campo da tabela do usuário que..., insira email.

    • Clique em Salvar.

  5. Você pode configurar o ServiceNow automaticamente ou manualmente. Para configurar o ServiceNow automaticamente, execute as seguintes etapas:

    1. Volte à página de logon único do ServiceNow.

    2. O serviço de configuração com uma seleção é fornecido para o ServiceNow. Para habilitar esse serviço, acesse a seção Configuração do ServiceNow e selecione Configurar o ServiceNow para abrir a janela Configurar logon.

      Captura de tela de Configurar o ServiceNow, com Exibir instruções passo a passo realçada

    3. No formulário Configurar logon, insira o nome da instância, o nome de usuário do administrador e a senha de administrador do ServiceNow. Selecione Configurar agora. O nome de usuário do administrador informado precisa ter a função security-admin atribuída no ServiceNow para que isso funcione. Caso contrário, para configurar manualmente o ServiceNow para usar a ID do Microsoft Entra como um provedor de identidade SAML, selecione Configurar o logon único manualmente. Copie a URL de saída, a ID da Entidade do SAML e a URL do serviço de logon único do SAML da seção de Referência Rápida.

      Captura de tela do formulário Configurar logon, com

    4. Entre no seu aplicativo ServiceNow como administrador.

      • Na configuração automática, todas as configurações necessárias são definidas do lado do ServiceNow, mas o Certificado X.509 não é habilitado por padrão e o valor de Script de Logon Único deve ser MultiSSOv2_SAML2_custom. Você precisa mapeá-lo manualmente para o provedor de identidade no ServiceNow. Siga estas etapas:

        1. No painel à esquerda, pesquise a seção SSO para vários provedores na caixa de pesquisa e selecione Provedores de identidade.

          Captura de tela da seção de SSO para Vários Provedores, com

        2. Selecione o provedor de identidade gerado automaticamente.

          Captura de tela dos provedores de identidade, com o provedor de identidade gerado automaticamente destacado

        3. Na seção Provedor de Identidade, execute as seguintes etapas:

          Captura de tela da seção do Provedor de Identidade

          a. Clique com o botão direito na barra cinza na parte superior da tela e selecione Copiar sys_id e use esse valor na URL de autenticação na seção Configuração Básica do SAML.

          b. Para Nome, insira um nome para a configuração (por exemplo, Logon Único Federado do Microsoft Azure).

          c. Copie o valor da Home page do ServiceNow e cole-o na URL de Logon na seção Configuração Básica do SAML para o ServiceNow.

          Observação

          A página inicial da instância de ServiceNow é uma concatenação da URL do locatário do ServiceNow e /navpage.do (por exemplo: https://fabrikam.service-now.com/navpage.do).

          d. Copie o valor da ID de Entidade/Emissor e cole-o em Identificador na seção Configuração Básica do SAML para o ServiceNow.

          e. Verifique se a Política NameID está definida com o valor urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified.

          f. Selecione Avançado e forneça o valor Single Sign-On Script como MultiSSOv2_SAML2_custom.

        4. Role para baixo até a seção Certificado X.509 e selecione Editar.

          Captura de tela da seção Certificado X.509, com

        5. Selecione o certificado e clique no ícone de seta à direita para adicionar o certificado

          Captura de tela da Coleção, com o certificado e o ícone de seta para a direita realçados

        6. Clique em Salvar.

        7. Selecione Testar conexão, no canto superior direito da página.

          Captura de tela da página, com “Testar conexão” destacado

          Observação

          Se a conexão de teste estiver falhando e você não puder ativar essa conexão, o ServiceNow oferecerá a opção de substituição. Você precisa inserir Sys_properties.LIST em Navegação de Pesquisa, que abrirá a nova página de Propriedades do Sistema. Aqui, você precisa criar uma propriedade com o nome glide.authenticate.multisso.test.connection.mandatory com datatype como True/False e, em seguida, definir value como False.

          Captura de tela da página de conexão de teste

        8. Quando suas credenciais forem solicitadas, insira-as. Você verá a página a seguir. O erro Resultados do Teste de Logout do SSO é esperado. Ignore o erro e selecione Ativar.

          Captura de tela da página de credenciais

  6. Para configurar o ServiceNow manualmente, execute as seguintes etapas:

    1. Entre no seu aplicativo ServiceNow como administrador.

    2. No painel esquerdo, selecione Provedores de Identidade.

      Captura de tela do SSO com vários provedores, com provedores de identidade realçados

    3. Na caixa de diálogo Provedores de Identidade, selecione Novo.

      Captura de tela da caixa de diálogo Provedores de Identidade, com

    4. Na caixa de diálogo Provedores de Identidade, selecione SAML.

      Captura de tela da caixa de diálogo

    5. Em Importar metadados do Provedor de Identidade, execute as seguintes etapas:

      Captura de tela de Importar Metadados do Provedor de Identidade, com

      1. Insira a URL de Metadados de Federação do Aplicativo que você copiou.

      2. Selecione Importar.

    6. A URL de metadados do IdP será lida e todas as informações dos campos serão populadas.

      Captura de tela do Provedor de Identidade

      a. Clique com o botão direito na barra cinza na parte superior da tela e selecione Copiar sys_id e use esse valor na URL de autenticação na seção Configuração Básica do SAML.

      b. Para Nome, insira um nome para a configuração (por exemplo, Logon Único Federado do Microsoft Azure).

      c. Copie o valor da Página inicial do ServiceNow. Cole-o na URL de Logon na seção Configuração Básica do SAML para o ServiceNow.

      Observação

      A página inicial da instância de ServiceNow é uma concatenação da URL do locatário do ServiceNow e /navpage.do (por exemplo: https://fabrikam.service-now.com/navpage.do).

      d. Copie o valor da ID da Entidade/do Emissor. Cole-o em Identificador na seção Configuração Básica do SAML para o ServiceNow.

      e. Verifique se a Política NameID está definida com o valor urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified.

      f. Selecione Avançado. No Campo do Usuário, insira email.

      Observação

      Você pode configurar o Microsoft Entra ID para emitir a ID de usuário (nome UPN) do Microsoft Entra ou o endereço de email como o identificador exclusivo no token SAML. Faça isso acessando a seção ServiceNow>Atributos>Logon único do portal do Azure e mapeando o campo desejado para o atributo nameidentifier. O valor armazenado para o atributo selecionado na ID do Microsoft Entra (por exemplo, nome UPN) precisa corresponder ao valor armazenado no ServiceNow para o campo inserido (por exemplo, nome_do_usuário).

      g. Selecione Testar conexão, no canto superior direito da página.

      Observação

      Se a conexão de teste estiver falhando e você não puder ativar essa conexão, o ServiceNow oferecerá a opção de substituição. Você precisa inserir Sys_properties.LIST em Navegação de Pesquisa, que abrirá a nova página de Propriedades do Sistema. Aqui, você precisa criar uma propriedade com o nome glide.authenticate.multisso.test.connection.mandatory com datatype como True/False e, em seguida, definir value como False.

      Captura de tela de conexão de teste

      h. Quando suas credenciais forem solicitadas, insira-as. Você verá a página a seguir. O erro Resultados do Teste de Logout do SSO é esperado. Ignore o erro e selecione Ativar.

      credenciais

Criar um usuário de teste do ServiceNow

O objetivo desta seção é criar um usuário chamado B.Fernandes no ServiceNow. O ServiceNow é compatível com o provisionamento automático de usuários, que está habilitado por padrão.

Observação

Se for necessário criar um usuário manualmente, entre em contato com a Equipe de suporte ao cliente do ServiceNow.

Configurar o SSO do ServiceNow Express

  1. Entre no seu aplicativo ServiceNow Express como administrador.

  2. No painel à esquerda, selecione Logon Único.

    Captura de tela do aplicativo ServiceNow Express, com o Logon Único realçado

  3. Na caixa de diálogo Logon Único, selecione o ícone de configuração no canto superior direito e defina as seguintes propriedades:

    Captura de tela da caixa de diálogo de Logon Único

    a. Deslize Habilitar SSO de vários provedores para a direita.

    b. Ative/desative Habilitar registro em log de depuração para a integração de SSO de vários provedores à direita.

    c. Em O campo da tabela do usuário que... , insira nome_do_usuário.

  4. Na caixa de diálogo Logon Único, selecione Adicionar Novo Certificado.

    Captura de tela da caixa de diálogo de logon único, com Adicionar novo certificado destacado

  5. Na caixa de diálogo Certificados X.509, execute as seguintes etapas:

    Captura de tela da caixa de diálogo dos Certificados X.509

    a. Para Nome, insira um nome para a configuração (por exemplo: TestSAML2.0).

    b. Selecione Ativo.

    c. Para Formato, selecione PEM.

    d. Para Tipo, selecione Certificado do Repositório de Confiança.

    e. Abra no bloco de notas o certificado codificado com Base64 baixado do portal do Azure. Copie o conteúdo dele para a área de transferência e cole-o na caixa de texto Certificado PEM.

    f. Selecione Atualizar

  6. Na caixa de diálogo Logon Único, selecione Adicionar Novo IdP.

    Captura de tela da caixa de diálogo Logon Único, com

  7. Na caixa de diálogo Adicionar Novo Provedor de Identidade, em Configurar Provedor de Identidade, execute as seguintes etapas:

    Captura de tela da caixa de diálogo Adicionar novo provedor de identidade

    a. Para Nome, insira um nome para a configuração (por exemplo: SAML 2.0).

    b. Em URL do Provedor de Identidade, cole o valor da ID do provedor de identidade copiado.

    c. No campo AuthnRequest do Provedor de Identidade, cole o valor da URL da solicitação de autenticação que você copiou.

    d. Em SingleLogoutRequest do Provedor de Identidade, cole o valor da URL de logoff copiado.

    e. Para Certificado de Provedor de Identidade, selecione o certificado que você criou na etapa anterior.

  8. Selecione Configurações avançadas. Em Propriedades Adicionais do Provedor de Identidade, execute as seguintes etapas:

    Captura de tela da caixa de diálogo Adicionar novo provedor de identidade, com Configurações Avançadas realçadas

    a. Para Vinculação de protocolo para o SingleLogoutRequest do IDP, insira urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect.

    b. Para Política de NameID, insira urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified.

    c. Para Método AuthnContextClassRef, insira http://schemas.microsoft.com/ws/2008/06/identity/authenticationmethod/password.

    d. Para Criar uma AuthnContextClass, defina-a como desativada (desmarcada).

  9. Em Propriedades Adicionais do Provedor de Serviço, execute as seguintes etapas:

    Captura de tela da caixa de diálogo Adicionar novo provedor de identidade, com várias propriedades realçadas

    a. Para Página Inicial do ServiceNow, insira a URL da página inicial da sua instância do ServiceNow.

    Observação

    A página inicial da instância do ServiceNow é formada pela concatenação da URL do tenant do ServiceNow com /navpage.do (por exemplo: https://fabrikam.service-now.com/navpage.do).

    b. Para ID da Entidade/Emissor, insira a URL do seu locatário do ServiceNow.

    c. Para URI do Público-alvo, insira a URL do seu locatário do ServiceNow.

    d. Para desvio do relógio, insira 60.

    e. Para Campo do usuário, insira email.

    Observação

    Você pode configurar o Microsoft Entra ID para emitir a ID de usuário (nome UPN) do Microsoft Entra ou o endereço de email como o identificador exclusivo no token SAML. Faça isso acessando a seção ServiceNow>Atributos>Logon único do portal do Azure e mapeando o campo desejado para o atributo nameidentifier. O valor armazenado para o atributo selecionado na ID do Microsoft Entra (por exemplo, nome UPN) precisa corresponder ao valor armazenado no ServiceNow para o campo inserido (por exemplo, nome_do_usuário).

    f. Clique em Salvar.

Teste de SSO

Ao selecionar o bloco do ServiceNow no Painel de Acesso, você deverá ser conectado automaticamente ao ServiceNow no qual configurou o SSO. Para saber mais sobre o Painel de Acesso, veja Introdução ao Painel de Acesso.

Testar SSO para Agente do ServiceNow (Móvel)

  1. Abra o aplicativo Agente do ServiceNow (Móvel) e execute as seguintes etapas:

    b. Insira o endereço de instância de ServiceNow, apelido e selecione Salvar e Fazer Logon.

    Captura de tela da página Adicionar instância, com Continuar destacado

    c. Na página de Logon, execute as seguintes etapas:

    Captura de tela da página de logon, com Usar o logon externo destacado

    • Insira o Nome de usuário, como B.simon@contoso.com.

    • Selecione Usar logon externo. Você será redirecionado à página da ID do Microsoft Entra para se conectar.

    • Insira suas credenciais. Se houver alguma autenticação de terceiros ou qualquer outro recurso de segurança habilitado, o usuário deverá responder de acordo. O aplicativo Página Inicial será exibido.

      Captura de tela da Página Inicial do aplicativo

Conteúdo relacionado

Após configurar o ServiceNow, você poderá impor controles de sessão, que protegem contra o vazamento e a infiltração de dados confidenciais de sua organização em tempo real. Os controles de sessão derivam do Acesso Condicional. Saiba como impor o controle de sessão com o Microsoft Defender para Aplicativos de Nuvem.

  • Last updated on