Authentification ADFS

Configurez une machine pour prendre en charge ADFS et assurez-vous d'avoir accès au logiciel ADFS Management. Contactez votre administrateur système à cet effet.

Configurer ADFS pour reconnaître une nouvelle instance d'Orchestrator

Remarque : les étapes ci-dessous sont valides pour l'outil de gestion ADFS. Notez que la procédure ci-dessous est une vaste description d'un exemple de configuration. Pour obtenir un guide pratique entièrement détaillé, consultez la documentation Okta officielle.

1. Ouvrez ADFS Management et définissez une nouvelle approbation de partie de confiance pour Orchestrator, comme suit :
   1. Cliquez sur Approbations de partie de confiance (Relying Party Trusts).
   2. Dans le panneau Actions, cliquez sur Ajouter une approbation de partie de confiance (Add Relying Party Trust). L'Assistant d'ajout d'approbation de partie de confiance (Add Relying Party Trust Wizard) s'affiche.
   3. Dans la section Bienvenue (Welcome), sélectionnez Reconnaissance des réclamations (Claims Aware).
   4. Dans la section Sélectionner des données (Select Data), choisissez l'option Saisir manuellement les données concernant la partie de confiance (Enter data about relying party manually).
   5. Dans la section Spécifier le nom complet (Specify Display Name), dans le champ Nom complet (Display name) insérez l’URL de l’instance Orchestrator.
   6. La section Configurer le certificat (Configure Certificate) n’a pas besoin de paramètres spécifiques, vous pouvez donc la laisser telle quelle.
   7. Dans la section Configurer l'URL (Configure URL), sélectionnez l'option Activer la prise en charge du protocole SSO Web SAML 2.0 (Enable support for the SAML 2.0 Web SSO Protocol) et renseignez l'URL de l'instance Orchestrator avec le suffixe identity/Saml2/Acs dans le champ URL du service SSO SAML 2.0 de la partie de confiance (Relying party SAML 2.0 SSO service URL). Par exemple, https://orchestratorURL/identity/Saml2/Acs.
   8. Dans la section Configurer les identificateurs (Configure Identifiers), renseignez l'URL de l'instance Orchestrator dans le champ Identificateur de l'approbation de partie de confiance (Relying party trust identifier).
   9. Dans la section Choisir la stratégie de contrôle d’accès (Choose Access Control Policy), assurez-vous de sélectionner la stratégie de contrôle Autoriser tout le monde (Permit everyone).
   10. Les deux sections suivantes (Confiance prête à être ajoutée (Ready to Add Trust) et Terminer (Finish)) n’ont pas besoin de paramètres spécifiques, vous pouvez donc les laisser tels quels.
   11. La partie de confiance nouvellement ajoutée s’affiche sur la fenêtre Approbations des parties de confiance (Relying Party Trusts).
       
   12. Assurez-vous que la valeur par défaut de votre URL est Oui (Yes) (Actions > Propriétés (Properties) > Points de terminaison (Endpoints)).
       
       
       
       
2. Sélectionnez l'approbation de partie de confiance et cliquez sur Éditer la stratégie d'émission de revendication (Edit Claim Issuance Policy) dans le panneau Actions (Actions). L'assistant Éditer la stratégie d'émission de revendication (Edit Claim Issuance Policy) s'affiche.
3. Cliquez sur Ajouter une règle (Add rule) et créez une règle à l'aide du modèle Envoyer les attributs LDAP en tant que revendications (Send LDAP Attributes as Claims) avec les paramètres suivants :
   
   

   

   
   
4. Une fois ADFS configuré, ouvrez PowerShell en tant qu'administrateur et exécutez les commandes suivantes :
   • Set-ADFSRelyingPartyTrust -TargetName "DISPLAYNAME" -SamlResponseSignature MessageAndAssertion (Remplacez DISPLAYNAME par la valeur définie à l'étape 1.e.)
   • Restart-Service ADFSSRV

Définir Orchestrator/Identity Server pour utiliser l'authentification ADFS

1. Définissez un utilisateur dans Orchestrator et définissez une adresse e-mail valide sur la page Utilisateurs (Users).
2. Importez le certificat de signature fourni par le fournisseur d'identité vers le magasin de certificats Windows à l'aide de Microsoft Management Console. Reportez-vous ici pour savoir comment y parvenir.
3. Connectez-vous au portail hôte en tant qu'administrateur système.
4. Cliquez sur Sécurité (Security).
5. Cliquez sur Configurer sous SAML SSO.

   La page de configuration de l'authentification unique SAML s'ouvre.

6. Configurez-le comme suit :
   • Cochez éventuellement la case Forcer la connexion automatique à l'aide de ce fournisseur ( Force automatic login using this provider ) si, une fois l'intégration activée, vous souhaitez que vos utilisateurs se connectent uniquement via l'intégration SAML.
   • Dans le champ Nom d' affichage (Display Name ), saisissez le nom que vous souhaitez afficher pour l'option de connexion SAML sur la page Connexion .
   • Définissez le paramètre ID d' entité du fournisseur de services (Service Provider Entity ID ) sur https://orchestratorURL/identity/Saml2/Acs.
   • Définissez le paramètre ID d'entité du fournisseur d'identité (Identity Provider Entity ID) sur la valeur obtenue en configurant l'authentification ADFS.
   • Définissez le paramètre URL du service d'authentification unique (Single Sign-On Service URL) sur la valeur obtenue en configurant l'authentification ADFS.
   • Cochez la case Autoriser la réponse d'authentification non sollicitée (Allow unsolicited authentication response).
   • Définissez le paramètre URL de retour (Return URL) sur https://orchestratorURL/identity/externalidentity/saml2redirectcallback.
   • Définissez le paramètre Stratégie de mappage utilisateur externe (External user mapping strategy) sur By user email.
   • Définissez le paramètre de type de liaison SAML sur HTTP redirect.
   • Dans la section Certificat de signature (Signing Certificate ), dans la liste Nom du magasin ( Store name ), sélectionnez Mon(My).
   • Dans la liste Emplacement du magasin ( Store location ), sélectionnez LocalMachine.

   • Définissez le paramètre Empreinte (Thumbprint) sur la valeur numérique, tel que fourni dans le magasin de certificats Windows. Plus de détails ici .

     Remarque :

     Remplacez toutes les occurrences de https://orchestratorURL par l'URL de votre instance d'Orchestrator.

     Assurez-vous que l'URL de l'instance Orchestrator ne contient pas une barre oblique finale. Renseignez-la toujours en tant que https://orchestratorURL/identity, et non https://orchestratorURL/identity/.
7. Cliquez sur Enregistrer pour enregistrer les modifications apportées aux paramètres du fournisseur d’identité externe.

   La page se ferme et vous revenez à la page Paramètres de sécurité (Security Settings) .

8. Cliquez sur le bouton bascule à gauche de SAML SSO pour activer l'intégration.
9. Redémarrez le serveur IIS.