|
|
|
|
|
Cette rubrique présente des notes consécutives à nos tests de l'authentification unique basée sur SAML avec les différents fournisseurs d’identité pris en charge. Ces notes peuvent vous être utiles pour savoir comment configurer et tester votre implémentation.
Remarque : Votre organisation a peut-être des exigences supplémentaires pour les fournisseurs d’identité par rapport à la configuration MOVEit requise. Nous ne pouvons donc pas indiquer la procédure étape par étape complète pour configurer chaque fournisseur d’identité. Reportez-vous à la documentation de votre fournisseur d’identité pour obtenir des informations de configuration détaillées.
Consultez la page Authentification d’utilisateur - Authentification unique pour obtenir des informations sur les paramètres MOVEit requis pour prendre en charge l'authentification unique SAML.
Remarque : Pour utiliser des certificats client, vous devez configurer leur prise en charge par le fournisseur d’identité. Le processus d'authentification unique SAML dans MOVEit Transfer ne prend pas en charge les certificats client. Dans MOVEit Transfer, dans le profil utilisateur des utilisateurs SAML, l’option SSL Client Certificate Required (Certificat client SSL requis) doit être définie sur No (Non).
Ces notes sont consécutives à nos tests de configuration avec le fournisseur d’identité ADFS. Dans ces notes, il est supposé qu’ADFS est connecté à un serveur Active Directory.
À partir de Windows Server 2012, Microsoft fait référence à ADFS comme Windows Server AD FS. Les deux abréviations s'étendent à Services de fédération Active Directory.
Notes relatives à l’installation/la configuration du fournisseur d’identité
Configurez les paramètres MOVEit requis par ADFS.
Le fournisseur de services et le fournisseur d’identité SAML doivent être inscrits l’un auprès de l’autre pour pouvoir approuver les demandes et assertions transmises entre les deux serveurs. Cela s’effectue généralement en échangeant des fichiers de métadonnées, qui contiennent les descriptions XML des services, des points de terminaison et des certificats du serveur.
Inscrivez MOVEit en tant que tiers de confiance dans ADFS. Pour ajouter un tiers de confiance, vous pouvez utiliser la console de gestion ADFS. dans laquelle vous spécifiez l’URL du fichier de métadonnées (MOVEit) du fournisseur de services ou ajoutez directement une copie du fichier de métadonnées.
Les attributs utilisateur sont définis à la fois dans la configuration du fournisseur d’identité et dans les paramètres MOVEit. Ces paramètres déterminent quelles informations utilisateur (comme le nom de compte, le nom commun, l’adresse e-mail) sont envoyées à MOVEit Transfer dans les assertions d’authentification.
Dans ADFS, vous devez définir les attributs utilisateur, ou « revendications », dans la boîte de dialogue Add Claim Rules (Ajouter des règles de revendication) de la console de gestion ADFS.
Les attributs suivants sont définis :
Dans l’onglet Issuance Transform Rules (Règles de transformation d’émission), cliquez sur le bouton Add Rule (Ajouter une règle).
Sélectionnez Send Claims Using a Custom Rule (Envoyer des revendications à l’aide d’une règle personnalisée).
Entrez un nom de règle (par exemple, « Créer un ID de session temporaire »).
Entrez le texte de règle suivant :
c1:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"]
&& c2:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationinstant"]
=> add(store = "_OpaqueIdStore",
types = ("http://example.com/transientsessionid"),
query = "{0};{1};{2};{3};{4}",
param = "useEntropy",
param = c1.Value,
param = c1.OriginalIssuer,
param = "",
param = c2.Value);
Cliquez sur Finish (Terminer) pour ajouter la règle.
Cliquez de nouveau sur le bouton Add Rule (Ajouter une règle).
Sélectionnez Transform an Incoming Claim (Transformer une revendication entrante).
Entrez un nom de règle (par exemple, « Envoyer un ID de session temporaire comme ID de nom »).
Comme type de revendication entrante, entrez : http://example.com/transientsessionid
Sélectionnez Name ID (ID de nom) comme type de revendication sortante.
Sélectionnez Transient Identifier (Identificateur temporaire) comme format d’ID de nom sortant.
Cliquez sur Finish (Terminer) pour ajouter la règle.
Dans les paramètres de la connexion unique (MOVEit), sélectionnez Edit (Modifier) pour modifier le fournisseur d’identité et, dans User Settings (Paramètres utilisateur), définissez les paramètres suivants :
Définissez les autres paramètres de groupe ou d’utilisateur souhaités.
MOVEit Transfer est maintenant inscrit auprès du serveur ADFS. Vous devez faire la même opération dans l’autre sens. Comme précédemment, vous pouvez télécharger les métadonnées du serveur ADFS (généralement stockées dans « <ADFS Server URL>/FederationMetadata/2007-06/FederationMetadata.xml »), ou fournir l’URL des métadonnées à MOVEit Transfer comme élément de configuration du fournisseur d’identité.
Pour tester la configuration, ouvrez une session MOVEit en tant qu’administrateur de l’organisation, puis copiez l’URL Direct User Signon Link (Lien de connexion de l’utilisateur direct) de la page Edit Federated Identity Provider Settings (Modifier les paramètres d’un fournisseur d’identité fédéré) pour le fournisseur d’identité configuré. Fermez la session MOVEit, puis collez cette URL dans la barre d’adresse de votre navigateur. S’il a été configuré correctement, le fournisseur d’identité vous authentifie, puis vous redirige vers la session MOVEit Transfer ouverte. (Selon la configuration choisie, le fournisseur d’identité peut vous demander vos informations d’identification.)
Remarque : L’invite de connexion n’est pas la page de connexion MOVEit. C’est celle du fournisseur d’identité (ADFS utilise une fenêtre de navigateur par défaut pour l’entrée des informations d’identification).
Pour connaître les problèmes de configuration les plus courants, reportez-vous à la page Résolution des problèmes de connexion unique.
Ces notes sont consécutives à nos tests de configuration avec le fournisseur d’identité Shibboleth. Dans ces notes, il est supposé que vous avez configuré Shibboleth en tant que référentiel d’utilisateurs ou que vous êtes connecté à un serveur Active Directory.
Notes relatives à l’installation/la configuration du fournisseur d’identité
Configurez les paramètres MOVEit requis par Shibboleth.
Remarque : Si vous utilisez des certificats auto-signés, quand vous configurez le fournisseur d’identité, vous devez copier le fichier de métadonnées de MOVEit au lieu de spécifier l’URL des métadonnées.
Le fournisseur de services et le fournisseur d’identité SAML doivent être inscrits l’un auprès de l’autre pour pouvoir approuver les demandes et assertions transmises entre les deux serveurs. Cela s’effectue généralement en échangeant des fichiers de métadonnées, qui contiennent les descriptions XML des services, des points de terminaison et des certificats du serveur.
Remarque : Actuellement, Shibboleth ne prend pas en charge le téléchargement du fichier de métadonnées du fournisseur de services à partir de MOVEit Transfer. Vous devez donc copier ce fichier comme indiqué à la première étape.
Les attributs utilisateur sont définis à la fois dans la configuration du fournisseur d’identité et dans les paramètres MOVEit. Ces paramètres déterminent quelles informations utilisateur (comme le nom de compte, le nom commun, l’adresse e-mail) sont envoyées à MOVEit Transfer dans les assertions d’authentification.
Définissez les autres paramètres de groupe ou d’utilisateur souhaités.
MOVEit Transfer est maintenant inscrit auprès du serveur Shibboleth. Vous devez faire la même opération dans l’autre sens. Comme précédemment, vous avez la possibilité de télécharger les métadonnées du serveur Shibboleth, ou de fournir l’URL des métadonnées à MOVEit Transfer comme élément de configuration du fournisseur d’identité.
Vous pouvez sélectionner une copie locale du fichier de métadonnées du fournisseur d’identité [C:\[folder]\Metadata.xml] ou bien copier l’URL de la page https://<idp-machine>:<port>/idp/shibboleth, sélectionner l’option d’ajout d’un fournisseur d’identité, puis coller l’URL dans la zone Identity Provider Metadata URL (URL de métadonnées du fournisseur d’identité).
Pour tester la configuration, ouvrez une session MOVEit en tant qu’administrateur de l’organisation, puis copiez l’URL Direct User Signon Link (Lien de connexion de l’utilisateur direct) de la page Edit Federated Identity Provider Settings (Modifier les paramètres d’un fournisseur d’identité fédéré) pour le fournisseur d’identité configuré. Fermez la session MOVEit, puis collez cette URL dans la barre d’adresse de votre navigateur. S’il a été configuré correctement, le fournisseur d’identité vous authentifie, puis vous redirige vers la session MOVEit Transfer ouverte. (Selon la configuration choisie, le fournisseur d’identité peut vous demander vos informations d’identification.)
Remarque : L’invite de connexion n’est pas la page de connexion MOVEit. Il s'agit de celle du fournisseur d’identité (Shibboleth utilise un écran de démarrage Shibboleth.).
Pour connaître les problèmes de configuration les plus courants, reportez-vous à la page Résolution des problèmes de connexion unique.
Ces notes sont consécutives à nos tests de configuration avec le fournisseur d’identité OneLogin. Dans ces notes, il est supposé que vous avez configuré OneLogin en tant que référentiel d’utilisateurs ou que vous êtes connecté à un serveur Active Directory.
Configurez les paramètres du fournisseur de services requis par OneLogin.
Le fournisseur de services et le fournisseur d’identité SAML doivent être inscrits l’un auprès de l’autre pour pouvoir approuver les demandes et assertions transmises entre les deux serveurs. Cela s’effectue généralement en échangeant des fichiers de métadonnées, qui contiennent les descriptions XML des services, des points de terminaison et des certificats du serveur.
À partir des paramètres du fournisseur de services dans MOVEit, ouvrez le fichier de métadonnées du fournisseur de services et copiez l’ID d’entité (entityID) pour l’organisation MOVEit Transfer. Ensuite, ouvrez la page OneLogin > Configuration et collez l’ID d’entité dans la zone SAML Audience (Audience SAML).
À partir des paramètres du fournisseur de services dans MOVEit, copiez l’URL pour l’interface consommateur d’assertion, ouvrez la page OneLogin > Configuration, puis collez cette URL dans les zones SAML Consumer URL (URL consommateur SAML) et SAML Recipient (Destinataire SAML).
À partir des paramètres du fournisseur de services dans MOVEit, copiez l’URL pour l’interface de déconnexion unique (méthode Redirect), ouvrez la page OneLogin > Configuration, puis collez cette URL dans la zone SAML Single Logout URL (URL de déconnexion unique SAML). Pour le paramètre Single Logout (Déconnexion unique), OneLogin prend uniquement en charge la méthode Redirect.
La zone RelayState doit être laissée vide.
Les attributs utilisateur sont définis à la fois dans les paramètres du fournisseur d’identité dans MOVEit et dans la configuration OneLogin. Ces paramètres déterminent quelles informations utilisateur (comme le nom de compte, le nom commun, l’adresse e-mail) sont envoyées à MOVEit Transfer dans les assertions d’authentification.
Dans les paramètres de la connexion unique (MOVEit), sélectionnez Edit (Modifier) pour modifier le fournisseur d’identité et, dans User Settings (Paramètres utilisateur), définissez le paramètre Login name (Nom de connexion) sur SAML NameID (ID de nom SAML). C’est le seul paramètre obligatoire. Définissez les autres paramètres de groupe ou d’utilisateur souhaités.
Dans OneLogin, sélectionnez l’onglet Access Control (Contrôle d’accès), puis sélectionnez Default role (Rôle par défaut).
MOVEit Transfer est maintenant inscrit auprès du serveur OneLogin. Vous devez faire la même opération dans l’autre sens. Vous devez fournir l’URL des métadonnées à MOVEit Transfer comme élément de configuration du fournisseur d’identité.
À partir de la page OneLogin Configuration (Configuration OneLogin), copiez l’URL de Single Signon > Issuer URL (Connexion unique > URL de l’émetteur), accédez aux paramètres MOVEit et à Single Signon (Connexion unique), sélectionnez l’option d’ajout d’un fournisseur d’identité, puis collez l’URL dans la zone Identity Provider Metadata URL (URL de métadonnées du fournisseur d’identité).
Pour tester la configuration, ouvrez une session MOVEit en tant qu’administrateur de l’organisation, puis copiez l’URL Direct Link (Lien direct) de la configuration de votre fournisseur d’identité. Fermez la session MOVEit, puis collez cette URL dans la barre d’adresse de votre navigateur. S’il a été configuré correctement, le fournisseur d’identité vous authentifie, puis vous redirige vers la session MOVEit Transfer ouverte. (Selon la configuration choisie, le fournisseur d’identité peut vous demander vos informations d’identification.)
Remarque : L’invite de connexion n’est pas la page de connexion MOVEit. C’est celle du fournisseur d’identité.
Pour connaître les problèmes de configuration les plus courants, reportez-vous à la page Résolution des problèmes de connexion unique.