Authentification ADFS

Configurez une machine pour prendre en charge ADFS et assurez-vous d'avoir accès au logiciel ADFS Management. Contactez votre administrateur système à cet effet.

Configurer ADFS pour reconnaître une nouvelle instance d'Orchestrator

Note: The following steps are valid for the ADFS Management tool. Please note that the following procedure is a broad description of a sample configuration. For a fully detailed how-to, visit the official ADFS Documentation.

1. Ouvrez ADFS Management et définissez une nouvelle approbation de partie de confiance pour Orchestrator, comme suit :
   1. Sélectionnez Approbations des parties de confiance (Relying Party Trusts).
   2. Dans le volet Actions , sélectionnez Ajouter une approbation de partie de confiance (Add Relying Party Trust). L' assistant Ajouter une approbation de partie de confiance (Add Relying Party Trust Wizard) s'affiche.
   3. Dans la section Bienvenue (Welcome), sélectionnez Reconnaissance des réclamations (Claims Aware).
   4. Dans la section Sélectionner des données (Select Data), choisissez l'option Saisir manuellement les données concernant la partie de confiance (Enter data about relying party manually).
   5. Dans la section Spécifier le nom complet (Specify Display Name), dans le champ Nom complet (Display name) insérez l’URL de l’instance Orchestrator.
   6. La section Configurer le certificat (Configure Certificate) n’a pas besoin de paramètres spécifiques, vous pouvez donc la laisser telle quelle.
   7. Dans la section Configurer l'URL (Configure URL), sélectionnez l'option Activer la prise en charge du protocole SSO Web SAML 2.0 (Enable support for the SAML 2.0 Web SSO Protocol) et renseignez l'URL de l'instance Orchestrator avec le suffixe identity/Saml2/Acs dans le champ URL du service SSO SAML 2.0 de la partie de confiance (Relying party SAML 2.0 SSO service URL). Par exemple, https://orchestratorURL/identity/Saml2/Acs.
   8. Dans la section Configurer les identificateurs (Configure Identifiers), renseignez l'URL de l'instance Orchestrator dans le champ Identificateur de l'approbation de partie de confiance (Relying party trust identifier).
   9. Dans la section Choisir la stratégie de contrôle d’accès (Choose Access Control Policy), assurez-vous de sélectionner la stratégie de contrôle Autoriser tout le monde (Permit everyone).
   10. Les deux sections suivantes (Confiance prête à être ajoutée (Ready to Add Trust) et Terminer (Finish)) n’ont pas besoin de paramètres spécifiques, vous pouvez donc les laisser tels quels.
   11. La partie de confiance nouvellement ajoutée s’affiche sur la fenêtre Approbations des parties de confiance (Relying Party Trusts).
       
   12. Assurez-vous que la valeur par défaut de votre URL est Oui (Yes) (Actions > Propriétés (Properties) > Points de terminaison (Endpoints)).
       
       
       
       
2. Select the relying party trust and select Edit Claim Issuance Policy from the Actions panel. The Edit Claim Issuance Policy wizard is displayed.
3. Sélectionnez Ajouter une règle (Add rule) et créez une règle à l'aide du modèle Envoyer les attributs LDAP en tant que revendications (Send LDAP Attributes as Claims) avec les paramètres suivants :
   
   

   

   
   
4. Une fois ADFS configuré, ouvrez PowerShell en tant qu'administrateur et exécutez les commandes suivantes :
   • Set-ADFSRelyingPartyTrust -TargetName "DISPLAYNAME" -SamlResponseSignature MessageAndAssertion (Remplacez DISPLAYNAME par la valeur définie à l'étape 1.e.)
   • Restart-Service ADFSSRV

Définir Orchestrator/Identity Server pour utiliser l'authentification ADFS

1. Définissez un utilisateur dans Orchestrator et définissez une adresse e-mail valide sur la page Utilisateurs (Users).
2. Importez le certificat de signature fourni par le fournisseur d'identité vers le magasin de certificats Windows à l'aide de Microsoft Management Console. Reportez-vous ici pour savoir comment y parvenir.
3. Connectez-vous au portail hôte en tant qu'administrateur système.
4. Sélectionnez Sécurité (Security).
5. Select Configure under SAML SSO.

   La page de configuration de l'authentification unique SAML s'ouvre.

6. Configurez-le comme suit :
   • Cochez éventuellement la case Forcer la connexion automatique à l'aide de ce fournisseur ( Force automatic login using this provider ) si, une fois l'intégration activée, vous souhaitez que vos utilisateurs se connectent uniquement via l'intégration SAML.
   • Dans le champ Nom d' affichage (Display Name ), saisissez le nom que vous souhaitez afficher pour l'option de connexion SAML sur la page Connexion .
   • Définissez le paramètre ID d' entité du fournisseur de services (Service Provider Entity ID ) sur https://orchestratorURL/identity/Saml2/Acs.
   • Définissez le paramètre ID d'entité du fournisseur d'identité (Identity Provider Entity ID) sur la valeur obtenue en configurant l'authentification ADFS.
   • Définissez le paramètre URL du service d'authentification unique (Single Sign-On Service URL) sur la valeur obtenue en configurant l'authentification ADFS.
   • Cochez la case Autoriser la réponse d'authentification non sollicitée (Allow unsolicited authentication response).
   • Définissez le paramètre URL de retour (Return URL) sur https://orchestratorURL/identity/externalidentity/saml2redirectcallback.
   • Définissez le paramètre Stratégie de mappage utilisateur externe (External user mapping strategy) sur By user email.
   • Définissez le paramètre de type de liaison SAML sur HTTP redirect.
   • Dans la section Certificat de signature (Signing Certificate ), dans la liste Nom du magasin ( Store name ), sélectionnez Mon(My).
   • Dans la liste Emplacement du magasin ( Store location ), sélectionnez LocalMachine.

   • Dans le champ Empreinte ( Thumbprint ), ajoutez la valeur numérique, telle que fournie dans le magasin de certificats Windows. Détails.

     Remarque :

     Remplacez toutes les occurrences de https://orchestratorURL par l'URL de votre instance d'Orchestrator.

     Assurez-vous que l'URL de l'instance Orchestrator ne contient pas une barre oblique finale. Renseignez-la toujours en tant que https://orchestratorURL/identity, et non https://orchestratorURL/identity/.
7. Sélectionnez Enregistrer (Save) pour enregistrer les modifications apportées aux paramètres du fournisseur d’identité externe.

   La page se ferme et vous revenez à la page Paramètres de sécurité (Security Settings) .

8. Select the toggle to the left of SAML SSO to enable the integration.
9. Redémarrez le serveur IIS.