Paramètres d’authentification de l'hôte

Clés d’installation

La clé d'installation est un jeton utilisé pour autoriser les connexions SSO à Orchestrator pour les applications intégrées.

1. Connectez-vous au portail de gestion en tant qu'administrateur système.

2. On the Security Settings page, the current installation key is displayed and you can click the Copy icon to copy it to your clipboard:

   

3. (Facultatif) Pour générer une nouvelle clé d'installation, cliquez sur Générer un nouveau .

   Un message de réussite apparaît en haut à droite, indiquant qu'une nouvelle clé a été générée.

Fournisseurs externes

Orchestrator vous permet de configurer un fournisseur d'identité externe pour contrôler la façon dont vos utilisateurs se connectent. Le tableau suivant donne un aperçu des différents fournisseurs externes au niveau de l'hôte disponibles.

Suivez les instructions applicables au fournisseur externe que vous souhaitez utiliser, comme indiqué ci-dessous :

Remarque :

Les instructions indiquées dans le tableau ci-dessous s'appliquent à une nouvelle installation ou si vous configurez l'un des fournisseurs externes pour la première fois.

If you upgraded Orchestrator and were already using one or more of the external providers listed below, the configuration is migrated, but you might need to perform some re-configuration tasks. If so, follow the instructions in Re-configuring authentication after upgrade instead.

Intégration du fournisseur externe	Authentification	Recherche dans l'annuaire	Approvisionnement utilisateur
Authentification Active Directory et Windows	Les utilisateurs peuvent utiliser l'authentification unique avec l'authentification Windows à l'aide du protocole Kerberos	Les administrateurs peuvent rechercher des utilisateurs à partir d'Active Directory	Les utilisateurs doivent se voir attribuer un rôle dans le locataire Orchestrator. Les utilisateurs et les groupes Active Directory peuvent se voir attribuer un rôle via la recherche dans l'annuaire.
Azure Active Directory	Les utilisateurs peuvent utiliser l'authentification unique avec Azure AD à l'aide du protocole OpenID Connect	Non pris en charge	Les utilisateurs doivent être enregistrés manuellement dans le locataire Orchestrator avec une adresse e-mail correspondant à leur compte Azure AD.
Google	Les utilisateurs peuvent utiliser l'authentification unique avec Google à l'aide du protocole OpenID Connect	Non pris en charge	Les utilisateurs doivent être enregistrés manuellement dans le locataire Orchestrator avec une adresse e-mail correspondant à leur compte Google.
SAML 2.0	Les utilisateurs peuvent utiliser l'authentification unique avec n'importe quel fournisseur d'identité qui prend en charge SAML	Non pris en charge	Les utilisateurs doivent être enregistrés manuellement dans le locataire Orchestrator avec un nom d'utilisateur correspondant à leur compte SAML.

Remarque :

The host-level Azure AD external identity provider only enables SSO functionality. The organization-level Azure AD integration enables SSO, directory search, and automatic user provisioning.

Autorisation ou restriction de l'authentification de base

L’authentification de base fait référence à la connexion avec le nom d’utilisateur et le mot de passe d’un compte local.

Si l'authentification de base est restreinte, vos utilisateurs ne peuvent se connecter qu'avec leur compte d'annuaire, tel que défini dans le fournisseur d'identité externe. Sinon, les utilisateurs peuvent se connecter à la fois avec leurs comptes locaux, le cas échéant, et leurs comptes de répertoire.

Niveaux de configuration et héritage

Cette option peut être configurée :

• at the host level, as described below.

  Lorsqu'il est défini au niveau de l'hôte, le paramètre s'applique à toutes les organisations et à tous leurs comptes, sauf si le paramètre d'authentification de base au niveau de l'organisation ou du compte n'a pas été explicitement défini différemment.

• for system administrator accounts, as described below.

  Même lorsque toutes les organisations ne peuvent pas utiliser l'authentification de base, vous pouvez autoriser uniquement les administrateurs système à contourner cette restriction.

• at the organization level.

  S'il est défini au niveau de l'organisation, le paramètre au niveau de l'organisation remplace le paramètre au niveau de l'hôte pour cette organisation uniquement. Le paramètre d'une organisation s'applique à tous les comptes qui appartiennent à cette organisation, à l'exception des comptes pour lesquels l'authentification de base est définie différemment au niveau du compte.

• at the account level.

  S'il est défini au niveau du compte, le paramètre au niveau du compte remplace le paramètre d'authentification de base au niveau de l'hôte et de l'organisation pour ce compte uniquement.

Configuration de l'authentification de base au niveau de l'hôte

Remarque :

This setting is only available if an external provider integration is enabled at the host level.

Lorsqu'il est défini au niveau de l'hôte, le paramètre s'applique à toutes les organisations et à tous leurs comptes. Définissez-le en fonction de la préférence ou de la recommandation de votre entreprise.

Pour les exceptions, l'authentification de base peut également être définie au niveau du compte auquel vous souhaitez que ce paramètre s'applique différemment.

Pour autoriser ou restreindre l'authentification de base pour toutes les organisations et tous les comptes :

1. Connectez-vous au portail de gestion en tant qu'administrateur système.

2. Go to Accounts & Groups and select the Authentication Settings tab.

3. Under External Providers, click the Disable basic authentication for the organizations toggle to restrict or allow sign in using basic authentication:

   • Si cette option est désactivée (position de basculement gauche, bascule grise), l'authentification de base est autorisée.

   • If on (right toggle position, blue toggle), basic authentication is restricted. While restricted, the Allow basic authentication for the host administrators toggle is available.

     

4. If you restricted basic authentication, use the Allow basic authentication for the host administrators toggle to choose if you want to allow basic authentications for system administrators, as an exception:

   • Si cette option est désactivée (position de la bascule gauche, bascule grise), l'authentification de base n'est pas non plus autorisée pour les administrateurs système.
   • Si cette option est activée (position de la bascule à droite, bascule bleue), même si l'authentification de base n'est pas autorisée, elle est autorisée uniquement pour les comptes d'administrateur système à titre d'exception.

5. At the bottom-right of the External Providers section, click Save to apply your changes.

Récupération du verrouillage

Lorsque l'authentification de base est désactivée, il est possible d'être verrouillé si vous perdez l'accès à votre compte d'annuaire.

Pour sortir de cette situation, accédez à https://<FQDN>/host/orchestrator_/account/hostlogin et connectez-vous à l'aide de vos informations d'authentification de base.

Sécurité

Les paramètres que vous spécifiez ici sont hérités par toutes les organisations de votre installation par défaut, mais les administrateurs d'organisation peuvent remplacer ces paramètres selon les besoins au niveau de l'organisation individuelle.

To configure security options for your Orchestrator installation, go to Accounts & Groups > Authentication Settings and, in the Security section, edit the following options as needed.

Complexité du mot de passe

Remarque :

La modification des paramètres de complexité du mot de passe n'affecte pas les mots de passe existants.

Champ	Description
Caractères spéciaux	Sélectionnez cette option pour obliger les utilisateurs à inclure au moins un caractère spécial dans leur mot de passe. Par défaut, cette case n’est pas cochée.
Caractères minuscules	Sélectionnez cette option pour obliger les utilisateurs à inclure au moins un caractère en minuscule dans leur mot de passe. Cette case est cochée par défaut.
Caractères majuscules	Sélectionnez cette option pour obliger les utilisateurs à inclure au moins un caractère en majuscule dans leur mot de passe. Par défaut, cette case n’est pas cochée.
Chiffres	Sélectionnez cette option pour obliger les utilisateurs à inclure au moins un chiffre dans leur mot de passe. Cette case est cochée par défaut.
Longueur minimale du mot de passe	Spécifiez le nombre minimum de caractères qu'un mot de passe doit contenir. Par défaut, il est de 8. La longueur doit être comprise entre 1 et 256 caractères.
Jours avant l'expiration du mot de passe	Spécifiez le nombre de jours pendant lesquels le mot de passe est disponible. Après cette période, le mot de passe expire et doit être modifié. La valeur minimale acceptée est de 0 (le mot de passe n’expire jamais), et la valeur maximale est de 1 000 jours.
Nombre de réutilisations d'un mot de passe	La valeur minimale acceptée est de 0 (ne jamais autoriser la réutilisation d'un mot de passe), tandis que la valeur maximale est de 10.
Modifier le mot de passe lors de la première connexion	Si défini sur Requis (Required), les utilisateurs qui se connectent pour la première fois doivent modifier leur mot de passe avant d'être autorisés à accéder à Orchestrator. S'il est défini sur Non requis , les utilisateurs peuvent se connecter et continuer à utiliser le mot de passe défini par l'administrateur jusqu'à son expiration.

Verrouillage du compte

Champ	Description
Bascule Activé ou Désactivé	Si cette option est activée, elle verrouille le compte pendant un nombre spécifique de secondes après un nombre spécifique de tentatives de connexion infructueuses. Cela s'applique également à la fonctionnalité de modification du mot de passe.
Durée du verrouillage du compte	Le nombre de secondes qu'un utilisateur doit attendre avant d'être autorisé à se reconnecter après avoir dépassé le nombre de Tentatives de connexion consécutives avant verrouillage . La valeur par défaut est de 5 minutes. La valeur minimale acceptée est de 0 (aucune durée de verrouillage) et la valeur maximale est de 2592 000 (1 mois).
Tentatives de connexion consécutives avant verrouillage	Le nombre de tentatives de connexion avortées autorisé avant que le compte ne soit verrouillé. La valeur par défaut est de 10 tentatives. Vous pouvez définir une valeur entre 2 et 10.