Configuración avanzada de SAML SSO en FortiClient Endpoint Management Server

Contexto y objetivo de la configuración

FortiClient Endpoint Management Server (EMS) es una solución centralizada para administrar los endpoints equipados con FortiClient, facilitando la aplicación de políticas de seguridad y el monitoreo continuo. La integración del Single Sign-On (SSO) mediante el protocolo SAML (Security Assertion Markup Language) ofrece una experiencia de autenticación unificada y segura, permitiendo a los usuarios acceder sin necesidad de ingresar credenciales múltiples. Esta configuración busca habilitar y parametrizar correctamente el SAML SSO para FortiClient EMS, asegurando una comunicación adecuada con el FortiGate como Service Provider (SP) y con un Identity Provider (IdP) confiable.

Arquitectura y flujo de tráfico

El flujo de autenticación SAML SSO involucra tres componentes principales: el usuario final, el Service Provider (SP), y el Identity Provider (IdP). En este escenario, FortiClient EMS actúa como el SP, solicitando la autenticación al IdP para validar la identidad del usuario.

Cuando un usuario intenta iniciar sesión en FortiClient EMS, este redirige la petición de autenticación al IdP configurado. El IdP, tras validar las credenciales del usuario, devuelve un token SAML firmado al SP que verifica el certificado y permite el acceso al usuario. En esta configuración, las direcciones IP configuradas para SP e IdP representan sus ubicaciones de red internas, y los certificados asociados son usados para verificar la autenticidad de la comunicación.

Campos principales y parámetros críticos

  • Enable SAML SSO: Activa la funcionalidad SAML dentro de FortiClient EMS para realizar autenticación federada.
  • SP Address: IP o nombre del Service Provider (normalmente el FortiClient EMS o FortiGate), que debe ser accesible desde el IdP.
  • SP Certificate: Certificado digital que identifica y autentica al SP; es fundamental para garantizar integridad y confidencialidad en la comunicación.
  • IDP Address: Dirección IP del Identity Provider, servidor que autentica a los usuarios y emite mensajes SAML.
  • Prefix: Identificador único utilizado para distinguir y generar los atributos SAML asociados a las sesiones de usuarios; debe coincidir con la configuración del IdP para evitar errores de mapeo de usuarios.
  • IDP Certificate: Certificado digital del Identity Provider que se usa para verificar la firma de las respuestas SAML recibidas.

Compatibilidad de versiones y modelos

La configuración de SAML SSO en FortiClient EMS está soportada principalmente en versiones recientes de FortiOS y FortiClient EMS, típicamente desde FortiOS 6.0 en adelante, y versiones mínimas específicas del EMS 7.x o superiores. Es importante validar la compatibilidad entre el FortiGate (como SP) y el Identity Provider, así como la versión del FortiClient EMS para asegurar que todos los campos y certificados sean reconocidos correctamente. Modelos de FortiGate que ejecutan FortiOS completo soportan esta configuración sin restricciones; sin embargo, versiones menores o dispositivos con licenciamiento limitado podrían no ofrecer soporte total o requerir actualizaciones.

Escenarios de uso recomendados

El SAML SSO en FortiClient EMS es ideal para organizaciones que buscan:

  • Centralizar y simplificar la gestión de acceso a endpoints mediante autenticación federada.
  • Integrar Fortinet con servicios de identidad existentes como Active Directory Federation Services (ADFS), Azure AD, o soluciones SAML compatibles.
  • Eliminar la necesidad de múltiples credenciales para usuarios finales, mejorando la experiencia y reduciendo riesgos de seguridad por contraseñas débiles o reutilizadas.
  • Automatizar procesos de autenticación en entornos híbridos donde coexistentes infraestructuras on-premise y cloud requieren interoperabilidad.

Riesgos, errores frecuentes y cómo evitarlos

Un error común al implementar SAML SSO es la desincronización entre las direcciones IP o nombres de host configurados para el SP y el IdP. Deben ser accesibles mutuamente y ser consistentes en ambas configuraciones. Otro riesgo es no mantener actualizados o mal cargar los certificados digitales, lo que provoca errores en la validación de firmas y bloqueos del acceso.

El campo Prefix debe coincidir ente el EMS y el IdP para evitar problemas en el mapeo del usuario y roles. Además, FortiClient EMS solo soporta SAML SSO con FortiGate como SP; no se recomienda el uso con IdP personalizados no certificados o no compatibles.

Para prevenir fallos, es fundamental realizar pruebas con usuarios de prueba y monitorear logs de autenticación, así como validar las rutas de red y certificados antes de la puesta en producción.

Comandos de CLI útiles para diagnóstico

A continuación se presenta un bloque de configuración básico para habilitar SAML SSO en FortiClient EMS, seguido de comandos para diagnosticar problemas comunes.

config endpoint-control saml
    set status enable
    set sp-address 10.0.4.103
    set idp-address 10.0.4.104
    set prefix csf_3ia8b9ibgl6wriv3walq4yawibv4hlt
    config sp-cert
        edit 1
            set certificate "Fortinet_SP_SSL"
        next
    end
    config idp-cert
        edit 1
            set certificate "Fortinet_CA_SSL"
        next
    end
end

diagnose endpoint-control saml status
diagnose endpoint-control saml debug enable
diagnose debug application endpoint-control -1
diagnose debug disable

El comando diagnose endpoint-control saml status muestra el estado actual de la configuración y sincronización con el IdP. Se debe revisar que el estado sea active y sin errores de certificado. El diagnose debug application endpoint-control -1 permite analizar los logs en tiempo real durante el proceso de autenticación SAML y detectar problemas como fallos de firma, o errores de conexión entre EMS y el IdP. Siempre finalizar el debug con diagnose debug disable para no saturar los logs.

Buenas prácticas y checklist final

  • Verificar que los certificados SSL/TLS para SP e IdP estén correctamente cargados, con fechas vigentes y en formato compatible.
  • Asegurar la accesibilidad IP y networking bidireccional entre FortiClient EMS (SP) y el Identity Provider (IdP).
  • Configurar y validar que el Prefix coincida exactamente con la configuración en el lado IdP.
  • Limitar el acceso a la gestión SAML únicamente a usuarios con privilegios administrativos para mitigar riesgos de seguridad.
  • Habilitar logging detallado inicialmente para asegurar el correcto funcionamiento y luego reducirlo en producción.
  • Probar accesos con cuentas de prueba antes de habilitar SAML SSO para toda la organización.
  • Documentar versiones de firmware, detalles de configuración y cambios para facilitar soporte futuro.