Authentification SAML (Administration)

De Wiki1000
(Différences entre les versions)
(→Description de l'écran)
 
(25 révisions intermédiaires par 2 utilisateurs sont masquées)
Ligne 1 : Ligne 1 :
 
__TOC__
 
__TOC__
 +
 +
{{Version800}}
  
 
Les annuaires SAML v2 sont des annuaires de gestion d'identités implémentant le protocole d'authentification [https://en.wikipedia.org/wiki/SAML_2.0 SAML v2]
 
Les annuaires SAML v2 sont des annuaires de gestion d'identités implémentant le protocole d'authentification [https://en.wikipedia.org/wiki/SAML_2.0 SAML v2]
Ligne 26 : Ligne 28 :
 
La mise en oeuvre d'un annuaire SAML v2 nécessite que vous enregistriez votre Service 1000 auprès du fournisseur d'identité. Les informations mises en oeuvre au cours de cette étapes sont :  
 
La mise en oeuvre d'un annuaire SAML v2 nécessite que vous enregistriez votre Service 1000 auprès du fournisseur d'identité. Les informations mises en oeuvre au cours de cette étapes sont :  
  
−
* Une URL de rappel pointant sur votre Service 1000 contenant l'action samlv2_success.l1000, par exemple https://monService/samlv2_success.l1000
+
* Une URL de rappel pointant sur votre Service 1000 contenant l'action samlv2_success.l1000, par exemple https://[hôte]/samlv2_success.l1000
 
* Un identifiant (SP Entity ID). Cet identifiant unique peut être proposé par l'Identiy Provider.
 
* Un identifiant (SP Entity ID). Cet identifiant unique peut être proposé par l'Identiy Provider.
 
* Le certificat public du SP pour que l'IP puisse vérifier les signatures des assertions.(facultatif)
 
* Le certificat public du SP pour que l'IP puisse vérifier les signatures des assertions.(facultatif)
 
* Le paramétrage des attributs. En effet, Sage1000 doit faire correspondre les attributs de l'Identiy Provider avec ceux de Sage1000.
 
* Le paramétrage des attributs. En effet, Sage1000 doit faire correspondre les attributs de l'Identiy Provider avec ceux de Sage1000.
 +
Le nom des attributs doit correspondre à celui paramétré dans l'annuaire Sage 1000
  
−
====Exemple avec Okta====
+
{{tip|Si le serveur web n'est pas intégré (IIS), utiliser comme adresse de rappel https://[hôte]/[nom du Service]/server/samlv2_success.l1000 }}
  
−
[[image:okta1.png]]
+
[[Authentification_SAML_IP_Settings_Okta(Administration)|Exemple avec Okta]]
  
−
====Exemple avec Azure AD====
+
[[Authentification_SAML_IP_Settings_AZURE(Administration)|Exemple avec Azure AD]]
  
 +
[[Authentification_SAML_IP_Settings_Google(Administration)|Exemple avec Google G Suite]]
  
 
====Paramétrer le fournisseur de service (l'annuaire dans la console d'administration)====
 
====Paramétrer le fournisseur de service (l'annuaire dans la console d'administration)====
  
 +
[[image:samlauthdirectory1.PNG|600px]]
  
−
[[image:okta2.png]]
+
=====Description de l'écran=====
  
−
[[image:okta3.png]]
+
*Identity Provider Single Sign-On URL
 +
: URL de connexion vers l'Identiy Provider, fourni par l'Identiy Provider.
  
 +
*Identity Provider Issuer
 +
: Identifiant de l'Identiy Provider, fourni par l'Identiy Provider.
  
 +
*Audience (SP Entity ID)
 +
: Identifiant du Service Provider, peut être proposé par l'Identiy Provider ou à renseigner.
  
 +
*Force Authentification
 +
: Permet de redemander l'authentification à un utilisateur déjà authentifié par ailleurs. Désactive donc la fonction SSO.
  
 +
*Auto create users
 +
: Mode de création des utilisateurs ([[voir#Paramétrer le mode de création des utilisateurs]])
 +
 +
*Authentication context declaration reference
 +
: Permet de spécifierà l'Identity Provider un mode d'authentification particulier (par exemple double authentification)
 +
 +
*Authentification comparison
 +
: Permet de spécifier l'opérateur à appliquer au paramétrage précédent.(par exemple "au moins une double authentification" ou "exactement une double authentification")
 +
 +
*Sign SAML request
 +
: Signer les assertions envoyées.Nécessite le paramétrage d'un certificat avec une clef privée et de fournir un certificat public à l'Identity Provider pour qu'il puisse vérifier les signatures.
 +
 +
*Verify SAML response
 +
: Vérifier les assertions reçues.Nécessite le paramétrage du certificat public de l'Identity Provider pour pouvoir vérifier les signatures.
 +
 +
{{warning|La vérification de la signature de la réponse est obligatoire}}
 +
 +
[[Authentification_SAML_IP_cert_Settings(Administration)|Exemples de paramétrage]]
 +
 +
 +
*First Name attribute
 +
: Nom de l'attribut à lier au prénom de l'utilisateur.
 +
 +
*Last Name attribute
 +
: Nom de l'attribut à lier au nom de l'utilisateur.
 +
 +
*Email attribute
 +
: Nom de l'attribut à lier au mail de l'utilisateur.
 +
 +
*Member of attribute
 +
: Nom de l'attribut à lier au groupe de l'utilisateur.(seulement si on choisit de créer automatiquement les utilisateurs)
 +
 +
Il faut paramétrer :
 +
 +
* L'URL de connexion vers l'Identiy Provider.
 +
* L'identifiant (SP Entity ID) paramétré précédemment dans l'Identiy Provider.
 +
* Le certificat public de l'Identity Provider que Sage1000 puisse vérifier les signatures des assertions.(facultatif)
 +
* Le paramétrage des attributs.
 +
 +
[[Authentification_SAML_SP_Settings_Okta(Administration)|Exemple avec Okta]]
 +
 +
[[Authentification_SAML_SP_Settings_AZURE(Administration)|Exemple avec Azure AD]]
 +
 +
[[Authentification_SAML_SP_Settings_Google(Administration)|Exemple avec Google G suite]]
 +
 +
====Paramétrer le logo====
 +
 +
[[image:samlauthdirectory2.PNG|600px]]
  
 
La fenêtre de connexion affiche les annuaires SAMLv2 actifs
 
La fenêtre de connexion affiche les annuaires SAMLv2 actifs
  
 +
[[image:samlportallogo.PNG|600px]]
  
−
====Autoriser les utilisateurs====
+
====Paramétrer le mode de création des utilisateurs====
 +
 
 +
*Création automatique des utilisateurs
 +
 
 +
Il faut cocher la case "auto create users".
 +
 
 +
Ce choix implique le paramétrage de l'attribut "member of".
 +
 
 +
Il faut créer le groupe et le lier à l'annuaire et renseigner l'identifiant annuaire.
 +
L'identifiant annuaire correspond à l'identifiant du groupe dans l'Identiy Provider.
 +
 
 +
Lorsque l'utilisateur se connecte, si il appartient au groupe, il est automatiquement créé et associé au groupe dans Sage 1000.
  
 
*Autorisation préalable
 
*Autorisation préalable
Ligne 58 : Ligne 130 :
 
Il est possible d'autoriser préalablement les utilisateurs.
 
Il est possible d'autoriser préalablement les utilisateurs.
 
Il faut créer l'utilisateur le lier à l'annuaire et renseigner l'identifiant annuaire.
 
Il faut créer l'utilisateur le lier à l'annuaire et renseigner l'identifiant annuaire.
−
L'identifiant annuaire correspond au paramétrage annuaire "UserIdPath"
+
L'identifiant annuaire correspond à l'identifiant de l'utilisateur dans l'Identiy Provider.
−
Par exemple si "UserIdPath" retourne l'adresse email de l'utilisateur, il faut renseigner l'adresse email dans l'identifiant annuaire.
+
 
 +
[[Authentification_SAML_UserId_Okta(Administration)|Exemple avec Okta]]
  
 +
[[Authentification_SAML_UserId_AZURE(Administration)|Exemple avec Azure AD]]
  
 +
[[Authentification_SAML_UserId_Google(Administration)|Exemple avec Google G Suite]]
  
−
{{warning|UserIdPath doit correspondre à une information qui permet d'identifier l'utilisateur (ne pas mettre un prénom dans cette zone)}}
 
  
 
*Autorisation à la demande
 
*Autorisation à la demande
Ligne 82 : Ligne 156 :
  
 
Une fois la demande acceptée un message est envoyé au demandeur.
 
Une fois la demande acceptée un message est envoyé au demandeur.
−
 
−
===Diagramme de séquence===
 
−
 
  
 
[[Category:Administration]]
 
[[Category:Administration]]
 
[[Category:Annuaires]]
 
[[Category:Annuaires]]
 +
[[Category:SAML V2]]
 +
[[Category:Version800]]

Version actuelle en date du 13 novembre 2022 à 21:29

Sommaire


version800-32x32.png

Les annuaires SAML v2 sont des annuaires de gestion d'identités implémentant le protocole d'authentification SAML v2

De nombreux fournisseurs de service implémentent SAML v2.

Les bénéfices de l'utilisation d'un annuaire SAML v2 sont les suivants :

  • Vous n'avez plus besoin de gérer les identités des utilisateurs.
  • Vos utilisateurs se connectent avec les identifiants du fournisseur de l'annuaire.
  • Vos utilisateurs sont automatiquement connectés lorsqu'ils sont authentifiés sur le fournisseur de l'annuaire.(SSO)

Définitions

On distingue

  • Le fournisseur de service (Service Provider ou SP). Dans notre cas, c'est Sage 1000.
  • Le fournisseur d'identité (Identity Provider ou IP). Le service qui gère les identités.
  • L'utilisateur (User Agent).

Les messages échangés sont appelés assertions.

Mise en oeuvre

Paramétrer le fournisseur d'identité

La mise en oeuvre d'un annuaire SAML v2 nécessite que vous enregistriez votre Service 1000 auprès du fournisseur d'identité. Les informations mises en oeuvre au cours de cette étapes sont :

  • Une URL de rappel pointant sur votre Service 1000 contenant l'action samlv2_success.l1000, par exemple https://[hôte]/samlv2_success.l1000
  • Un identifiant (SP Entity ID). Cet identifiant unique peut être proposé par l'Identiy Provider.
  • Le certificat public du SP pour que l'IP puisse vérifier les signatures des assertions.(facultatif)
  • Le paramétrage des attributs. En effet, Sage1000 doit faire correspondre les attributs de l'Identiy Provider avec ceux de Sage1000.

Le nom des attributs doit correspondre à celui paramétré dans l'annuaire Sage 1000

Tip-20px.png Tip : Si le serveur web n'est pas intégré (IIS), utiliser comme adresse de rappel https://[hôte]/[nom du Service]/server/samlv2_success.l1000

Exemple avec Okta

Exemple avec Azure AD

Exemple avec Google G Suite

Paramétrer le fournisseur de service (l'annuaire dans la console d'administration)

Samlauthdirectory1.PNG

Description de l'écran
  • Identity Provider Single Sign-On URL
URL de connexion vers l'Identiy Provider, fourni par l'Identiy Provider.
  • Identity Provider Issuer
Identifiant de l'Identiy Provider, fourni par l'Identiy Provider.
  • Audience (SP Entity ID)
Identifiant du Service Provider, peut être proposé par l'Identiy Provider ou à renseigner.
  • Force Authentification
Permet de redemander l'authentification à un utilisateur déjà authentifié par ailleurs. Désactive donc la fonction SSO.
  • Auto create users
Mode de création des utilisateurs (voir#Paramétrer le mode de création des utilisateurs)
  • Authentication context declaration reference
Permet de spécifierà l'Identity Provider un mode d'authentification particulier (par exemple double authentification)
  • Authentification comparison
Permet de spécifier l'opérateur à appliquer au paramétrage précédent.(par exemple "au moins une double authentification" ou "exactement une double authentification")
  • Sign SAML request
Signer les assertions envoyées.Nécessite le paramétrage d'un certificat avec une clef privée et de fournir un certificat public à l'Identity Provider pour qu'il puisse vérifier les signatures.
  • Verify SAML response
Vérifier les assertions reçues.Nécessite le paramétrage du certificat public de l'Identity Provider pour pouvoir vérifier les signatures.
Exclam-20px.png Attention : La vérification de la signature de la réponse est obligatoire

Exemples de paramétrage


  • First Name attribute
Nom de l'attribut à lier au prénom de l'utilisateur.
  • Last Name attribute
Nom de l'attribut à lier au nom de l'utilisateur.
  • Email attribute
Nom de l'attribut à lier au mail de l'utilisateur.
  • Member of attribute
Nom de l'attribut à lier au groupe de l'utilisateur.(seulement si on choisit de créer automatiquement les utilisateurs)

Il faut paramétrer :

  • L'URL de connexion vers l'Identiy Provider.
  • L'identifiant (SP Entity ID) paramétré précédemment dans l'Identiy Provider.
  • Le certificat public de l'Identity Provider que Sage1000 puisse vérifier les signatures des assertions.(facultatif)
  • Le paramétrage des attributs.

Exemple avec Okta

Exemple avec Azure AD

Exemple avec Google G suite

Samlauthdirectory2.PNG

La fenêtre de connexion affiche les annuaires SAMLv2 actifs

Samlportallogo.PNG

Paramétrer le mode de création des utilisateurs

  • Création automatique des utilisateurs

Il faut cocher la case "auto create users".

Ce choix implique le paramétrage de l'attribut "member of".

Il faut créer le groupe et le lier à l'annuaire et renseigner l'identifiant annuaire. L'identifiant annuaire correspond à l'identifiant du groupe dans l'Identiy Provider.

Lorsque l'utilisateur se connecte, si il appartient au groupe, il est automatiquement créé et associé au groupe dans Sage 1000.

  • Autorisation préalable

Il est possible d'autoriser préalablement les utilisateurs. Il faut créer l'utilisateur le lier à l'annuaire et renseigner l'identifiant annuaire. L'identifiant annuaire correspond à l'identifiant de l'utilisateur dans l'Identiy Provider.

Exemple avec Okta

Exemple avec Azure AD

Exemple avec Google G Suite


  • Autorisation à la demande

Si un utilisateur souhaite se connecter à l'application mais qu'il n'est pas reconnu, une demande d'autorisation est envoyée aux utilisateurs qui ont le rôle d'administration des utilisateurs et dossier.

Les rôles nécessaires pour recevoir le message :

Role admin.png


Le traitement des demandes d'autorisation :

Demande autorisation.png

Cet assistant crée l'utilisateur, le lie à l'annuaire, et l'ajoute aux utilisateurs autorisés du dossier choisi.


Une fois la demande acceptée un message est envoyé au demandeur.

Récupérée de « https://frp.sage.fr/wiki1000/index.php?title=Authentification_SAML_(Administration)&oldid=14313 »
Outils personnels