Configuration de l’authentification par authentification unique (SSO)
Les administrateurs d’Enterprise Server peuvent configurer et activer les fonctionnalités de Single Sign-On (SSO) pour votre serveur. Le système de configuration backend permet aux administrateurs d’établir, de tester, d’activer et de désactiver la fonctionnalité SSO pour les utilisateurs du serveur. L’option SSO est disponible lors de la connexion à l’interface navigateur d’Enterprise Server. Lorsqu’il est configuré pour les utilisateurs du serveur, le SSO offre la commodité d’accéder au serveur en utilisant le même jeu d’identifiants que celui appliqué à l’ensemble des systèmes de votre entreprise.
Pour plus d’informations sur l’accès à l’interface navigateur d’Enterprise Server, consultez la page Exploring the Browser-based Interface.
Authentification unique SAML
Lorsqu’il est configuré et activé dans Enterprise Server, le système SSO établit des identités autorisées à partir du fournisseur d’identité (IdP) désigné par votre entreprise, par exemple Okta, OneLogin, etc., avec des communications d’assertion d’identité basées sur le langage normalisé Security Assertion Markup Language (SAML 2.0). L’interface de connexion SSO de votre entreprise, si elle n’est pas déjà en place, est généralement basée sur un modèle ou un exemple fourni par l’IdP – cela déclenche les échanges d’assertion d’authentification basés sur SAML et fournit l’accès aux services de l’entreprise.
Lorsque l’option SAML est sélectionnée dans la liste déroulante SSO sur la page Admin – Settings – Authentication de l’interface navigateur, la page affiche les URL préconfigurées pour le service SSO d’Enterprise Server (Altium Metadata Configuration), ainsi que l’option permettant de téléverser ou de saisir manuellement les données de connexion d’autorisation de votre IdP (SAML Identity Provider Configuration).
Les métadonnées de configuration de l’IdP doivent être disponibles auprès de votre fournisseur d’identité une fois celui-ci configuré pour l’intégration avec les services de votre entreprise – voir les exemples d’intégration d’IdP ci-dessous. Pour configurer le système SAML SSO dans Enterprise Server (si cela n’est pas déjà fait), utilisez le bouton 
pour localiser et téléverser le fichier XML de configuration SAML IdP généré par l’IdP de votre entreprise. Un fichier XML IdP téléversé est analysé par le système afin d’extraire les principaux champs de configuration (X509 Certificate, URL Identity Provider Issuer et IdP Single Sign-On URL). Vous pouvez également ajouter manuellement les éléments individuels (certificat de sécurité et URL) de la configuration dans les champs correspondants.
Le SSO n’est pas activé tant qu’un test d’intégration n’a pas été exécuté, ce qui est déclenché par le bouton 
. Cela vérifie le processus d’identité SSO et la connexion SSO de votre entreprise. Une fois la configuration testée avec succès, vous pouvez enregistrer les paramètres en cliquant sur le bouton 
(
), ce qui les applique effectivement à Enterprise Server.
-
Si le SSO est ensuite désactivé, soit manuellement, soit en réponse à une modification de configuration, le bouton
devient disponible afin que le processus de test puisse être répété.
-
Si nécessaire, le champ Entity ID dans les paramètres Altium Metadata Configuration peut être modifié (par exemple, pour lever l’ambiguïté entre deux instances de serveur).
Exemples d’intégration de fournisseurs d’identité
Développez la section repliable ci-dessous pour un exemple pas à pas du processus d’intégration de OneLogin comme fournisseur d’identité.
Integration with OneLogin
-
Connectez-vous à OneLogin en tant qu’administrateur.
-
Sélectionnez Applications, puis Add Apps.
-
Recherchez « SAML » et sélectionnez l’option d’application IdP SAML Test Connector (Advanced).
-
Spécifiez un nom d’application (Display Name). Ceci est uniquement à des fins d’affichage.
-
Cliquez sur le bouton Save.
-
Copiez (
) les entrées Entity ID et Single Sign-On URL (Assertion Consumer Service) depuis la page Admin – Settings – Authentication de l’interface navigateur d’Enterprise Server vers les champs indiqués ci-dessous.
Dans la configuration de l’application OneLogin :
-
Collez la valeur Entity ID (nom du fournisseur de services) ci-dessus comme URL Audience (EntityID).
-
Collez la valeur Single Sign-On URL (Assertion Consumer Service) ci-dessus comme ACS (Consumer) URL Validator.
-
Collez également la valeur Single Sign-On URL (Assertion Consumer Service) comme ACS (Consumer) URL.
-
Les champs RelayState, Recipient, Single Logout URL et Login URL peuvent être laissés vides.
-
-
Assurez-vous que l’option SAML nameID format est définie sur Email, et que SAML signature element est défini sur Both. Cliquez sur le bouton Save pour confirmer les paramètres.
-
Cliquez sur le bouton More Actions, puis sur l’option de menu SAML Metadata pour télécharger les métadonnées SAML du fournisseur d’identité sous forme de fichier XML.
-
Ce fichier de métadonnées sera téléversé sur la page Admin – Settings – Authentication de l’interface navigateur d’Enterprise Server pour configurer le service SSO OneLogin – voir ci-dessous.
-
Si vous préférez configurer manuellement le service SSO OneLogin dans Enterprise Server, les paramètres requis se trouvent en sélectionnant l’option de menu SSO dans l’interface de l’application OneLogin.
-
-
Les étapes suivantes consisteraient à ajouter des utilisateurs et à leur attribuer l’application.
Développez la section repliable ci-dessous pour un exemple pas à pas du processus d’intégration de Okta comme fournisseur d’identité.
Integration with Okta
-
Connectez-vous à Okta en tant qu’administrateur.
-
Cliquez sur le lien/bouton Admin, puis sur le bouton Add Application sous Applications de l’entreprise.
-
Cliquez sur le bouton Create New App.
-
Sélectionnez SAML 2.0 comme Sign-on method.
-
Spécifiez un App name. Ceci est uniquement à des fins d’affichage.
-
Notez les entrées Single Sign On URL (Assertion Consumer Service) et Entity ID sur la page Admin – Settings – Authentication de l’interface navigateur d’Enterprise Server.
-
Copiez (
) et collez l’entrée Single Sign-On URL d’Enterprise Server dans le champ Single sign on URL des paramètres SAML d’Okta.
-
Copiez (
) et collez l’entrée Entity ID d’Enterprise Server dans le champ Audience URI des paramètres SAML d’Okta.
Une entrée Default RelayState n’est pas requise.
-
Définissez les champs restants comme suit :
-
Le Name ID format est
EmailAddress. -
Le Application username est (Okta)
Email. -
Dans la section ATTRIBUTE STATEMENTS, définissez le champ Name sur :
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddresset le Value sur :user.email
-
-
Cliquez sur le bouton Next et sélectionnez l’option ..Okta customer adding an internal app.
-
Cliquez sur le bouton Finish.
-
Cliquez sur le lien Identity Provider metadata et enregistrez le XML de métadonnées sur votre ordinateur, ou cliquez sur le bouton View Setup Instructions pour les options de configuration manuelle.
-
Dans la section SAML Identity Provider configuration de la page Admin – Settings – Authentication de l’interface navigateur d’Enterprise Server, téléversez le fichier XML de métadonnées enregistré ou configurez manuellement les sections individuelles – voir ci-dessus.
-
Développez la section repliable ci-dessous pour un exemple pas à pas du processus d’intégration de Microsoft Entra ID comme fournisseur d’identité.
Integration with Microsoft Entra ID
-
Connectez-vous au Microsoft Entra admin center.
-
Sélectionnez Identity, puis l’option Enterprise applications.
-
Créez votre propre application.
-
Sélectionnez Users and groups, puis Add user/group.
-
Sélectionnez Single sign-on, Step 1, puis Edit.
-
Copiez (
) Entity ID et Single Sign-On URL depuis la page Admin – Settings – Authentication de l’interface navigateur d’Enterprise Server. Collez les chaînes copiées dans les champs Entity ID et Assertion Consumer Service URL de la zone SAML Configuration de l’application Microsoft Entra. Assurez-vous que les cases Default sont cochées pour ces champs, puis enregistrez la configuration.
-
Téléchargez le Federation Metadata XML créé.
-
Téléversez le Federation Metadata XML sur la page Admin – Settings – Authentication de l’interface navigateur d’Enterprise Server, puis testez la connexion d’intégration SAML – voir ci-dessus.
Développez la section repliable ci-dessous pour un exemple pas à pas du processus d’intégration de JumpCloud comme fournisseur d’identité.
Integration with JumpCloud
-
Dans l’interface JumpCloud, sélectionnez SSO dans l’arborescence de navigation, puis le bouton Add New Application sur la page SSO.
-
Saisissez «
saml» dans la fenêtre de configuration Search pour localiser puis installer Custom SAML App.
-
Nommez votre instance de Custom SAML App – dans cet exemple, l’étiquette est
Altium.
-
Passez à l’onglet SSO dans l’interface de configuration JumpCloud et saisissez les paramètres Entity/URL depuis la page Admin – Settings – Authentication de l’interface navigateur d’Enterprise Server comme indiqué.
-
Saisissez le point de terminaison JumpCloud IDP URL et activez l’option Declare Redirect Endpoint.
-
Utilisez l’option Export Metadata pour télécharger le fichier XML de métadonnées SAML résultant.
-
Téléversez le fichier XML de métadonnées sur la page Admin – Settings – Authentication de l’interface navigateur d’Enterprise Server, puis testez la connexion d’intégration SAML – voir ci-dessus.
Développez la section repliable ci-dessous pour un exemple pas à pas du processus d’intégration de Microsoft Administrative Domain Federated Services (AD FS) comme fournisseur d’identité.
Integration with Microsoft AD FS
-
Ouvrez l’application AD FS Management (généralement Start → Windows Administrative Tools → AD FS Management).
-
Accédez à Relying Party Trusts et cliquez sur l’option Add Relying Party Trust... (1).
-
Dans la fenêtre contextuelle, veillez à sélectionner Claims aware (2), puis cliquez sur Start (3).
-
À l’étape Select Data Source, sélectionnez Enter data about the relying party manually (1), puis cliquez sur Next (2).
-
Fournissez un nom d’affichage pour la relation d’approbation. Cet exemple utilise
AltiumLivecomme nom d’affichage.
-
Selon votre configuration de sécurité, vous pouvez spécifier un certificat facultatif de chiffrement de jeton. Aux fins de ce guide, nous n’en utiliserons pas.
-
À l’étape Configure URL, assurez-vous de sélectionner l’option Enable support for the SAML 2.0 WebSSO protocol (1) et saisissez Single Sign-On URL copié depuis la page Admin – Settings – Authentication de l’interface navigateur d’Enterprise Server dans le champ Relying party SAML 2.0 SSO service URL: (2). Cliquez sur Next (3).
-
À l’étape Configure Identifiers, fournissez un identifiant pour cette relation d’approbation dans le champ de saisie (1). L’identifiant doit être repris de l’entrée Entity ID située dans la région Altium Metadata Configuration de la page Admin – Settings – Authentication de l’interface navigateur d’Enterprise Server. Veillez à cliquer sur le bouton Add (2).
Le résultat devrait ressembler à ce qui suit. Cliquez sur Next.
-
Selon votre configuration de sécurité, vous pouvez choisir des stratégies facultatives de contrôle d’accès à l’étape suivante. Pour cet exemple, nous ne sélectionnerons aucune stratégie supplémentaire et poursuivrons avec l’option
Permit everyone.
-
Vérifiez la configuration et sélectionnez Next.
-
Tous les paramètres ne sont pas disponibles pendant la configuration de la relation d’approbation. Pour permettre l’utilisation de
SHA-1comme algorithme de hachage sécurisé, cliquez avec le bouton droit sur le nom de Relying Party Trust que vous venez d’ajouter et sélectionnez Properties.
-
Dans la fenêtre des propriétés, sélectionnez l’onglet Advanced (1) et définissez
SHA-1comme algorithme de hachage sécurisé (2). Cliquez sur OK pour enregistrer les modifications.
-
De retour dans la fenêtre AD FS Management, sélectionnez la Relaying Party Trust que vous avez ajoutée et choisissez l’option Edit Claim Issuance Policy....
-
Dans la fenêtre Edit Claim Issuance Policy, sélectionnez Add Rule...
-
À l’étape Choose Rule Type de l’assistant, assurez-vous que Send LDAP Attributes as Claims est sélectionné, puis cliquez sur Next.
-
Fournissez un Claim rule name (1), sélectionnez
Active Directorycomme Attribute store (2), puis sélectionnez un LDAP Attribute (3) à partir de l’ID qui contient le nom d’utilisateur de l’utilisateur Enterprise Server. Cet attribut doit être mappé à Name ID dans Outgoing Claim Type (3). Cliquez sur Finish (4).
Important Note: Pour cet exemple, nous avons mappé Surname ou Last name pour contenir la valeur requise. Votre configuration peut différer.
-
Assurez-vous que la stratégie d’émission des revendications est enregistrée en cliquant sur OK.
-
Téléchargez le fichier
FederationMetadata.xmldepuis le serveur approprié. -
Téléversez le fichier XML de métadonnées sur la page Admin – Settings – Authentication de l’interface navigateur d’Enterprise Server, puis testez la connexion d’intégration SAML – voir ci-dessus.
Développez la section repliable ci-dessous pour un exemple pas à pas du processus d’intégration de AWS IAM Identity Center comme fournisseur d’identité :
Integration with AWS IAM Identity Center
-
Accédez à IAM Identity Center et ajoutez une application SAML 2.0 personnalisée (Add Application).
-
Renseignez les paramètres d’URL des métadonnées AWS depuis votre page Altium SSO. Confirmez les paramètres avec Submit.
-
Téléchargez le fichier de métadonnées depuis la zone IAM Identity Center metadata.
-
Accédez à Edit attribute mappings.
-
Fournissez un attribut qui contiendra le nom d’utilisateur de l’utilisateur Enterprise Server et sélectionnez
unspecifiedpour Format. -
Créez de nouveaux utilisateurs dans AWS et attribuez l’application aux utilisateurs créés ou à un groupe.
-
Assurez-vous que les mêmes utilisateurs existent à la fois côté Altium et côté IAM.
-
Téléversez le fichier XML de métadonnées sur la page Admin – Settings – Authentication de l’interface navigateur d’Enterprise Server, puis testez la connexion d’intégration SAML – voir ci-dessus.
Authentification unique OAuth / OIDC
La fonctionnalité SSO de votre Enterprise Server peut également être configurée à l’aide de la norme OAuth / OIDC. Lorsque l’option OAuth / OIDC est sélectionnée dans la liste déroulante SSO sur la page Admin – Settings – Authentication de l’interface navigateur, la page permet de saisir les données fournies par l’IdP choisi.
-
Application Credentials:
-
Client ID – l’ID d’application provenant de l’IdP.
-
Client Secret – le secret d’application provenant de l’IdP.
-
-
Configuration:
-
Scopes to Request – les scopes définissent le niveau d’accès que votre application demande à l’utilisateur.
-
Authentication Endpoint – ce point de terminaison gère l’authentification de l’utilisateur et le consentement. Votre application redirige les utilisateurs vers ce point de terminaison pour se connecter et accorder des autorisations.
-
Token Endpoint – ce point de terminaison est utilisé pour échanger un code d’autorisation ou un jeton d’actualisation contre un jeton d’accès. Il s’agit d’une communication sécurisée back-channel entre l’application et le serveur d’autorisation.
-
User Profile Endpoint – ce point de terminaison récupère les informations de profil utilisateur (par exemple, nom, e-mail) à l’aide d’un jeton d’accès. Les données renvoyées dépendent des scopes accordés lors de l’autorisation.
-
-
Mappings – dans le champ Mapped Attribute du tableau, saisissez l’attribut qui sera mappé au nom d’utilisateur de l’utilisateur côté Enterprise Server.
Le SSO n’est pas activé tant qu’un test d’intégration n’a pas été exécuté, ce qui est déclenché par le bouton . Cela vérifie le processus d’identité SSO et la connexion SSO de votre entreprise. Une fois la configuration testée avec succès, vous pouvez enregistrer les paramètres en cliquant sur le bouton (
), ce qui les applique effectivement à Enterprise Server.
Si le SSO est ensuite désactivé, soit manuellement, soit en réponse à une modification de configuration, le bouton devient disponible afin que le processus de test puisse être répété.
Localisé par IA