Authentification ADFS

Configurez une machine pour prendre en charge ADFS et assurez-vous d'avoir accès au logiciel ADFS Management. Contactez votre administrateur système à cet effet.

Configurer ADFS pour reconnaître une nouvelle instance d'Orchestrator

Remarque : les étapes ci-dessous sont valides pour l'outil de gestion ADFS. Notez que la procédure ci-dessous est une vaste description d'un exemple de configuration. Pour obtenir un guide pratique entièrement détaillé, consultez la documentation Okta officielle.

1. Ouvrez ADFS Management et définissez une nouvelle approbation de partie de confiance pour Orchestrator, comme suit :
   1. Cliquez sur Approbations de partie de confiance (Relying Party Trusts).
   2. Dans le panneau Actions, cliquez sur Ajouter une approbation de partie de confiance (Add Relying Party Trust). L'Assistant d'ajout d'approbation de partie de confiance (Add Relying Party Trust Wizard) s'affiche.
   3. Dans la section Bienvenue (Welcome), sélectionnez Reconnaissance des réclamations (Claims Aware).
   4. Dans la section Sélectionner des données (Select Data), choisissez l'option Saisir manuellement les données concernant la partie de confiance (Enter data about relying party manually).
   5. Dans la section Spécifier le nom complet (Specify Display Name), dans le champ Nom complet (Display name) insérez l’URL de l’instance Orchestrator.
   6. La section Configurer le certificat (Configure Certificate) n’a pas besoin de paramètres spécifiques, vous pouvez donc la laisser telle quelle.
   7. Dans la section Configurer l'URL (Configure URL), sélectionnez l'option Activer la prise en charge du protocole SSO Web SAML 2.0 (Enable support for the SAML 2.0 Web SSO Protocol) et renseignez l'URL de l'instance Orchestrator avec le suffixe identity/Saml2/Acs dans le champ URL du service SSO SAML 2.0 de la partie de confiance (Relying party SAML 2.0 SSO service URL). Par exemple, https://orchestratorURL/identity/Saml2/Acs.
   8. Dans la section Configurer les identificateurs (Configure Identifiers), renseignez l'URL de l'instance Orchestrator dans le champ Identificateur de l'approbation de partie de confiance (Relying party trust identifier).
   9. Dans la section Choisir la stratégie de contrôle d’accès (Choose Access Control Policy), assurez-vous de sélectionner la stratégie de contrôle Autoriser tout le monde (Permit everyone).
   10. Les deux sections suivantes (Confiance prête à être ajoutée (Ready to Add Trust) et Terminer (Finish)) n’ont pas besoin de paramètres spécifiques, vous pouvez donc les laisser tels quels.
   11. La partie de confiance nouvellement ajoutée s’affiche sur la fenêtre Approbations des parties de confiance (Relying Party Trusts).
       
   12. Assurez-vous que la valeur par défaut de votre URL est Oui (Yes) (Actions > Propriétés (Properties) > Points de terminaison (Endpoints)).
       
       
       
       
2. Sélectionnez l'approbation de partie de confiance et cliquez sur Éditer la stratégie d'émission de revendication (Edit Claim Issuance Policy) dans le panneau Actions (Actions). L'assistant Éditer la stratégie d'émission de revendication (Edit Claim Issuance Policy) s'affiche.
3. Cliquez sur Ajouter une règle (Add rule) et créez une règle à l'aide du modèle Envoyer les attributs LDAP en tant que revendications (Send LDAP Attributes as Claims) avec les paramètres suivants :
   
   

   

   
   
4. Une fois ADFS configuré, ouvrez PowerShell en tant qu'administrateur et exécutez les commandes suivantes :
   • Set-ADFSRelyingPartyTrust -TargetName "DISPLAYNAME" -SamlResponseSignature MessageAndAssertion (Remplacez DISPLAYNAME par la valeur définie à l'étape 1.e.)
   • Restart-Service ADFSSRV

Définir Orchestrator/Identity Server pour utiliser l'authentification ADFS

1. Définissez un utilisateur dans Orchestrator et définissez une adresse e-mail valide sur la page Utilisateurs (Users).
2. Importez le certificat de signature fourni par le fournisseur d'identité vers le magasin de certificats Windows à l'aide de Microsoft Management Console. Reportez-vous ici pour savoir comment y parvenir.
3. Connectez-vous au portail de gestion en tant qu'administrateur système.
4. Accédez à Utilisateurs ( Users ) et sélectionnez l'onglet Paramètres d'authentification ( Authentication Settings ).
5. Dans la section Fournisseurs externes (External Providers), cliquez sur Configurer (Configure) sous SAML 2.0 :
   
   

   

   
   

   Le panneau Configurer SAML 2.0 s'ouvre à droite de la fenêtre.

6. Configurez-le comme suit :
   • Cochez la case Activé (Enabled).
   • Définissez le paramètre ID d' entité du fournisseur de services (Service Provider Entity ID ) sur https://orchestratorURL/identity/Saml2/Acs.
   • Définissez le paramètre ID d'entité du fournisseur d'identité (Identity Provider Entity ID) sur la valeur obtenue en configurant l'authentification ADFS.
   • Définissez le paramètre URL du service d'authentification unique (Single Sign-On Service URL) sur la valeur obtenue en configurant l'authentification ADFS.
   • Cochez la case Autoriser la réponse d'authentification non sollicitée (Allow unsolicited authentication response).
   • Définissez le paramètre URL de retour (Return URL) sur https:/orchestratorURL/identity/externalidentity/saml2redirectcallback.
   • Définissez le paramètre Stratégie de mappage utilisateur externe (External user mapping strategy) sur By user email.
   • Définissez le paramètre de type de liaison SAML sur HTTP redirect.
   • Dans la section Certificat de signature (Signing Certificate), définissez le paramètre Nom du magasin (Store name) sur My à partir de la dropbox.
   • Définissez le paramètre d'emplacement du magasin (Store location) sur LocalMachine.

   • Définissez le paramètre Empreinte (Thumbprint) sur la valeur numérique, tel que fourni dans le magasin de certificats Windows. Vous trouverez plus de détails ici.

     Remarque :

     Remplacez toutes les occurrences de https://orchestratorURL par l'URL de votre instance d'Orchestrator.

     Assurez-vous que l'URL de l'instance Orchestrator ne contient pas une barre oblique finale. Renseignez-la toujours en tant que https:/orchestratorURL/identity, et non https://orchestratorURL/identity/.
7. Cliquez sur Enregistrer pour enregistrer les modifications apportées aux paramètres du fournisseur d’identité externe.
8. Redémarrez le serveur IIS.